Filtración de datos de 2025 en Columbia Medical Practice

La fuente principal es el aviso público de ciberseguridad de la organización, actualizado el 26 de noviembre de 2025. Describe el acceso del 5 de noviembre, el virus utilizado para bloquear archivos, la copia de archivos ese mismo día, las posibles categorías de datos y la separación del sistema de historias clínicas electrónicas, que no se vio afectado. El aviso también facilita el teléfono de asistencia 1-833-974-3375.

La segunda fuente es el registro oficial de HHS/OCR, fechado el 5 de diciembre, que indica 94 131 personas afectadas. Una carta dirigida a los consumidores, fechada el 24 de abril de 2026 y publicada por la Fiscalía General de Massachusetts, confirma que la revisión de los archivos terminó el 31 de marzo, así como el proceso de notificación individual y las medidas técnicas adicionales. El nombre de un grupo atacante mencionado en fuentes secundarias no aparece en los documentos oficiales y, por tanto, se excluye.

Columbia Medical Practice declaró que un atacante informático desconocido accedió a una parte de su red e instaló un virus informático que bloqueó archivos en los sistemas informáticos. La organización contrató a especialistas en ciberseguridad, restauró la red de forma segura e investigó el incidente. La investigación determinó que el atacante copió archivos de la red informática ese mismo día.

La organización publicó su primer aviso público mientras la revisión de los archivos aún estaba en curso, para comunicar el incidente sin demora. Según la carta posterior dirigida a los consumidores, la revisión exhaustiva para identificar a las personas y los campos de datos presentes en los archivos copiados concluyó el 31 de marzo de 2026. A partir del 24 de abril, se enviaron cartas directamente a las personas de las que se disponía de una dirección.

Según la persona, los archivos copiados podrían haber contenido un nombre junto con una dirección, un número de teléfono, una fecha de nacimiento, un número de Seguro Social, un número de permiso de conducir, un número de pasaporte u otro identificador oficial. Las categorías de información sanitaria incluyen el lugar y las fechas de los servicios prestados, el tratamiento o la afección, el diagnóstico y su código, información sobre recetas, antecedentes médicos y el médico asignado.

Las categorías de información de pagos y seguros incluyen un número de cuenta financiera, sin código de seguridad, código de acceso ni contraseña para acceder a ella; un número de afiliado o de identificación del seguro médico; y un número de cuenta del paciente. Esta precisión es importante: un número de cuenta financiera podría haber estado involucrado, pero los códigos de acceso y las contraseñas no se describieron como parte de ese mismo alcance. No todas las personas tenían datos en todos los campos.

Columbia Medical Practice declaró expresamente que, en ese momento, su plataforma de historias clínicas electrónicas se mantenía en un entorno de red informática separado de forma lógica y no se vio afectada. Esto no significa que los archivos copiados de la red no contuvieran información sanitaria; significa que la plataforma central de EHR estaba separada de la parte afectada de la red.

Las cifras de personas, los campos de datos y las afirmaciones sobre los autores del ataque que no se han verificado no se consideran parte del alcance público del incidente. Al mismo tiempo, el incidente no se minimiza como si hubiera sido un mero intento de acceso, ya que el aviso público confirma que se copiaron archivos. La cifra de personas afectadas o de registros publicada por la fuente oficial representa el alcance declarado del incidente. No significa que todas las categorías de datos comunicadas correspondieran a todas las personas.

La combinación de un SSN, una fecha de nacimiento y un documento de identificación oficial puede aumentar el riesgo de suplantación de identidad, fraude mediante la apertura de nuevas cuentas, fraude fiscal o fraude relacionado con prestaciones. Los detalles sobre diagnósticos, recetas, médicos y fechas de atención pueden facilitar la creación de mensajes sanitarios falsos que resulten convincentes. Los números de seguro y de cuenta del paciente pueden aportar contexto para reclamaciones, facturas o avisos de pago fraudulentos.

Si ha recibido una notificación, revise sus informes de crédito y estados financieros, así como los documentos de explicación de beneficios del seguro, el historial de recetas y cualquier actividad inesperada en su cuenta de paciente. Utilice un canal conocido de la institución en lugar de un enlace incluido en un mensaje que afirme proceder de Columbia Medical Practice o de un médico, y no facilite su SSN completo, una contraseña, un código de acceso, un pago ni un código de un solo uso.

Columbia Medical Practice declaró que corrigió los problemas y confirmó la seguridad de su red, revisó los archivos con especialistas en ciberseguridad e implementó medidas técnicas y procesos adicionales. También revisó sus prácticas de auditoría de ciberseguridad, políticas y procedimientos. La carta individual posterior indica que se ofrecieron servicios gratuitos de vigilancia de la identidad; los detalles de inscripción figuran en la carta de cada destinatario.

El teléfono público 1-833-974-3375 está disponible para consultas de lunes a viernes, de 8:00 a. m. a 8:00 p. m., hora del Este. Si detecta actividad crediticia que no reconoce, puede ser conveniente solicitar una alerta de fraude o una congelación gratuita del crédito. Las anotaciones sospechosas relacionadas con la atención médica o el seguro deben verificarse directamente con el proveedor y la aseguradora. Para evaluar qué datos personales estuvieron involucrados, los campos indicados en una carta individualizada son más útiles que la lista general.