Brecha de seguridad de Community Care Alliance en 2024

El registro de HHS OCR vincula en un mismo incidente a Community Care Alliance, el proveedor de servicios de salud de Rhode Island, un total de 114 975 personas, un informe de marzo de 2025 y un servidor de red. El sitio web oficial de la organización confirma su vinculación con Woonsocket y sus programas de salud mental, adicciones, vivienda y necesidades básicas.

Un análisis independiente del incidente, que cita la notificación de la organización, señala que el acceso tuvo lugar del 1 al 5 de julio, que la revisión de los archivos concluyó hacia el 8 de enero de 2025 y cuáles fueron los tipos de información divulgados. La información publicada sobre seguridad en el sector sanitario también vincula la detección del 6 de julio, el alcance de 114 975 personas, la atribución a Rhysida y la exfiltración de datos con el mismo incidente.

Una persona no autorizada accedió a los sistemas de Community Care Alliance entre el 1 y el 5 de julio de 2024. La organización detectó el ataque el 6 de julio; el incidente provocó una interrupción de la red y dio lugar a una investigación con especialistas externos.

La información publicada posteriormente describió el incidente como un ataque de ransomware de Rhysida e indicó que el grupo afirmó haber exfiltrado unos 2.5 terabytes de datos. La investigación de la organización confirmó la posibilidad de que se hubiera consultado y obtenido información sin autorización, mientras que las fuentes públicas no revelan el método de acceso inicial ni la vulnerabilidad técnica.

La información potencialmente afectada incluía nombres, direcciones, fechas de nacimiento, números del Seguro Social, números de licencia de conducir, información médica y datos del seguro de salud. Los datos médicos podían incluir diagnósticos o afecciones, resultados de laboratorio, medicamentos, números de identificación de pacientes, nombres de proveedores de servicios de salud e información sobre tratamientos.

Community Care Alliance indicó que la información implicada variaba según la persona. Las contraseñas, las direcciones de correo electrónico, las tarjetas de pago y las cuentas bancarias no se incluyen en este registro porque la información pública sobre el incidente no confirma que esos datos se vieran afectados.

La exposición de datos de identidad junto con información de salud detallada puede aumentar el riesgo de robo de identidad, apertura fraudulenta de cuentas, reclamaciones fraudulentas al seguro y estafas dirigidas. Los números del Seguro Social y de licencia de conducir no se pueden cambiar fácilmente, por lo que puede ser necesario mantener una vigilancia cuidadosa a largo plazo.

Quienes llaman y conocen un diagnóstico real, un medicamento o el nombre de un proveedor de servicios de salud pueden resultar más convincentes. Disponer de esos detalles no demuestra que quien envía un mensaje represente a Community Care Alliance, a una aseguradora o a una clínica, y las solicitudes inesperadas deben verificarse por un canal independiente.

Community Care Alliance investigó el incidente con especialistas externos, implementó medidas técnicas de protección adicionales y notificó a las personas afectadas. A quienes cumplían los requisitos se les ofrecieron 12 meses de servicios de monitoreo crediticio y protección de la identidad.

La revisión para identificar los archivos y las personas afectadas concluyó hacia el 8 de enero de 2025. Una demanda posterior terminó en un acuerdo por $1,09 millones, en el que Community Care Alliance negó haber actuado indebidamente; el acuerdo no constituye una admisión sobre la causa técnica del incidente.

Las personas que recibieron una notificación deben revisar sus informes de crédito, sus cuentas financieras y los documentos explicativos de su seguro de salud para detectar cuentas, transacciones, reclamaciones o servicios que no reconozcan. La actividad sospechosa debe comunicarse a la institución financiera correspondiente, a la aseguradora, a las agencias de información crediticia y, cuando sea necesario, a las autoridades competentes.

No se deben compartir números del Seguro Social, información de salud, contraseñas ni códigos de verificación de un solo uso en correos electrónicos, mensajes o llamadas inesperados. Las solicitudes que afirmen proceder de Community Care Alliance o de otra organización deben verificarse mediante los datos de contacto del sitio web oficial, en lugar de utilizar los enlaces o números de teléfono del mensaje.