Filtración de datos de Compassion Health Care de 2025

La notificación oficial de CHC vincula en un mismo incidente la detección del 17 de marzo, lo que se determinó el 21 de marzo sobre el alcance de los datos implicados y los tipos de datos que se dieron a conocer. La entrada de HHS OCR confirma que se trata de Compassion Health Care, el proveedor de atención sanitaria de Carolina del Norte, que la fecha de notificación fue el 16 de mayo de 2025 y que el total de personas afectadas fue de 23 282.

Un resumen independiente del suceso corrobora el mismo incidente de red, la secuencia de fechas y las categorías de datos. Como no se hizo público cuándo comenzó el acceso no autorizado, el 17 de marzo se registra como la fecha confirmada de detección y de interrupción de la red, no como la fecha del primer acceso.

El 17 de marzo, CHC detectó una actividad sospechosa en su red y una interrupción derivada de ella. La organización inició una investigación con una empresa externa de ciberseguridad para determinar la naturaleza y el alcance del posible acceso no autorizado a sus sistemas.

El 21 de marzo, CHC supo que un tercero no autorizado podría haber consultado o descargado datos almacenados en ciertos sistemas. La notificación pública no revela el método de acceso inicial, la vulnerabilidad técnica, el primer día de acceso ni su duración, y esta ficha no infiere esos detalles.

Los registros de pacientes podrían haber incluido nombres, direcciones, números de teléfono, fechas de nacimiento o edades, números de Seguro Social, números de licencia de conducir, información sobre seguros médicos y reclamaciones, e información clínica o de diagnóstico relacionada con los servicios médicos recibidos.

Los registros de empleados o proveedores podrían haber incluido nombres, direcciones, fechas de nacimiento, números de Seguro Social, información sobre ingresos, información de cuentas financieras y, posiblemente, números de cuentas bancarias y números de ruta bancaria. La notificación no indica que todos los tipos de datos correspondieran a todas las personas; las direcciones de correo electrónico, las contraseñas y las tarjetas de pago no se incluyen porque no se confirmó que estuvieran implicadas.

Los datos del Seguro Social, de las licencias de conducir y de las cuentas bancarias pueden facilitar el robo de identidad, la apertura de cuentas fraudulentas, las transferencias no autorizadas o el fraude fiscal. Algunos de estos identificadores son difíciles de cambiar, por lo que conviene vigilar el crédito y las cuentas a largo plazo.

Los datos de seguros médicos, reclamaciones e información clínica pueden ayudar a un atacante a crear mensajes convincentes que hagan referencia a un servicio real. Conocer información de salud exacta no demuestra que el remitente represente a CHC, a un médico, a un banco o a una aseguradora.

CHC investigó el suceso con especialistas externos en ciberseguridad y envió notificaciones por escrito a los pacientes, empleados y proveedores potencialmente afectados el 16 de mayo de 2025. La organización también habilitó una línea de asistencia específica para consultas sobre el incidente.

A las personas potencialmente afectadas se les ofrecieron servicios gratuitos de seguimiento del crédito y de recuperación de la identidad en caso de robo. La notificación oficial no establece una conclusión definitiva sobre si hubo o no un uso indebido de los datos; las medidas de protección buscan reducir el posible riesgo.

Si ha recibido una notificación, revise periódicamente sus informes de crédito, sus cuentas bancarias y financieras, las explicaciones de beneficios de su seguro médico y sus registros fiscales para detectar cuentas, transacciones, servicios o reclamaciones que no reconozca. Comunique sin demora cualquier anotación sospechosa a la institución correspondiente.

No comparta un número de Seguro Social, información bancaria, datos de salud, una contraseña ni un código de verificación de un solo uso en respuesta a un correo electrónico, mensaje o llamada inesperados. Si recibe una solicitud que afirma proceder de CHC, verifíquela utilizando los datos de contacto del sitio web oficial de la organización, en lugar de los enlaces o números incluidos en el mensaje.