Brecha de datos de Concord Orthopaedics de 2024

El aviso oficial de la organización vincula a Concord Orthopaedics, el software de terceros para el registro de pacientes, la fecha de notificación del 21 de noviembre de 2024 y los tipos de datos potencialmente afectados con un mismo suceso. El registro de HHS OCR también confirma la organización, el total de 72 815 personas y la fecha de presentación del informe, el 25 de marzo de 2025.

Los análisis independientes del incidente vinculan los detalles del aviso oficial y el total de 72 815 personas registrado por el organismo regulador con la misma brecha. Las fuentes públicas no revelan cuándo comenzó ni cuándo terminó exactamente el acceso no autorizado, por lo que aquí se considera el 21 de noviembre como la fecha en que la organización recibió la notificación, no como la fecha exacta del ataque.

El 21 de noviembre, Concord Orthopaedics supo que una persona no autorizada podría haber accedido a un software de terceros utilizado para registrar a pacientes y posibles pacientes, así como su llegada a las citas. La organización deshabilitó el acceso, restableció las contraseñas del software y contrató a especialistas externos en ciberseguridad para investigar la naturaleza del suceso.

La investigación determinó que la persona no autorizada accedió al software y podría haber consultado u obtenido la información de registro y de recepción para las citas almacenada allí. No encontró pruebas de que se hubiera comprometido el entorno interno de Concord Orthopaedics ni su sistema de historias clínicas electrónicas, alojado en una aplicación independiente.

Según la persona, la información podría haber incluido nombres, fechas de nacimiento, números de la Seguridad Social, números de licencia de conducir o de documentos de identificación estatales y, en algunos casos, imágenes de documentos de identidad. Los datos de citas descritos incluían el tipo de cita, el nombre del médico y la fecha y el lugar de la cita.

Los campos relativos al seguro de salud podrían incluir el número de beneficiario del plan de salud, el número del plan de salud e información sobre si la persona reunía los requisitos para obtener cobertura del seguro. Las direcciones de correo electrónico, las contraseñas, las tarjetas de pago y las cuentas bancarias no se incluyen en este registro porque el aviso oficial del incidente no confirma esos campos.

La combinación de números de identificación con datos de citas médicas y seguros puede aumentar el riesgo de robo de identidad, reclamaciones fraudulentas a las aseguradoras y estafas dirigidas. Los números de la Seguridad Social y de licencia de conducir son difíciles de cambiar, por lo que su uso indebido puede manifestarse mucho después del suceso original.

Alguien que conozca un tipo de cita real, el nombre de un médico o un dato del seguro puede elaborar un mensaje convincente. Tener esos datos no demuestra que quien llama represente a Concord Orthopaedics, a un médico o a una aseguradora, y las solicitudes inesperadas deben verificarse por un canal independiente.

Concord Orthopaedics deshabilitó el acceso al software de terceros, restableció las contraseñas, investigó con especialistas externos en ciberseguridad y notificó el incidente a las autoridades policiales federales. La organización también afirmó que estaba revisando sus prácticas y políticas relativas a los proveedores externos.

Se notificó a las personas afectadas y se ofrecieron servicios de protección de identidad a quienes cumplían los requisitos. El aviso oficial solo confirma el suceso relacionado con el software de terceros para el registro de pacientes; no revela el método de acceso inicial, ninguna vulnerabilidad técnica ni el periodo exacto de acceso.

Las personas que recibieron una notificación deben revisar periódicamente sus informes de crédito, cuentas financieras y desgloses de prestaciones de sus seguros de salud para detectar cuentas, transacciones, citas o reclamaciones que no reconozcan. Los movimientos o registros sospechosos deben comunicarse a la entidad financiera y a la aseguradora de salud correspondientes, así como a las autoridades competentes cuando sea necesario.

No se deben compartir números de la Seguridad Social, información del seguro, contraseñas ni códigos de verificación de un solo uso en correos electrónicos, mensajes o llamadas inesperados. Toda solicitud que afirme proceder de Concord Orthopaedics debe verificarse mediante los datos de contacto del sitio web oficial, en lugar de utilizar un enlace o un número de teléfono incluido en el mensaje.