Brecha de seguridad de Cooper Health System de 2024

El registro de HHS OCR vincula en un mismo incidente a The Cooper Health System, un proveedor de atención médica de Nueva Jersey, el total de 57 412 personas, la fecha de notificación del 23 de mayo de 2025 y un servidor de red. Ningún otro registro activo del catálogo coincidía con el nombre de la organización, la marca actual Cooper University Health Care, el dominio, la fecha y el número total de personas afectadas.

Un informe independiente sobre seguridad en el sector sanitario describe la notificación que Cooper presentó ante la Fiscalía General de Maine y corrobora la fecha de detección del 14 de mayo de 2024, el acceso no autorizado a los sistemas, la finalización de la revisión de archivos en torno al 26 de marzo de 2025, los campos divulgados y el alcance de 57 412 personas.

Cooper afirma que detectó actividad inusual en su red el 14 de mayo de 2024, sin que se interrumpiera el acceso a los sistemas. Se contrató a especialistas externos en ciberseguridad para determinar la naturaleza y el alcance de la actividad.

La investigación determinó que un tercero no autorizado había accedido a ciertos sistemas y podría haber exfiltrado datos sensibles. Las fuentes públicas no revelan cuándo comenzó el acceso, la vulnerabilidad técnica, el método de acceso inicial ni el autor. Por ello, el 14 de mayo se mantiene como fecha de detección, en lugar de presentarse como el inicio confirmado del período de acceso.

La revisión de archivos concluyó el 26 de marzo de 2025 o en una fecha cercana, y determinó que el contenido afectado incluía nombres y números del Seguro Social. El total oficial de HHS abarca a 57 412 personas, pero no se ha publicado qué campos correspondían a cada una.

No se incluyen direcciones de correo electrónico, contraseñas, cuentas bancarias, tarjetas de pago, licencias de conducir, fechas de nacimiento, diagnósticos ni información de seguros, ya que la información pública sobre el incidente no confirma que estos datos estuvieran afectados. Tampoco se interpreta la expresión «podría haber exfiltrado» como una afirmación de que la obtención de los datos esté confirmada.

Un nombre combinado con un número del Seguro Social puede facilitar el robo de identidad, las solicitudes fraudulentas de crédito, el fraude fiscal o los intentos de abrir una cuenta a nombre de otra persona. Como estos identificadores no pueden cambiarse sin más, el riesgo no se limita a un período breve.

Quien llama y conoce un nombre real o parte de un identificador puede resultar más convincente. Disponer de ese dato no demuestra que el remitente represente a Cooper, a un banco o a un organismo público. Las solicitudes inesperadas deben verificarse por un canal independiente.

Cooper afirma que trabajó con especialistas externos en ciberseguridad e implementó medidas adicionales para reforzar la seguridad de sus sistemas. Se enviaron notificaciones a las personas afectadas y se ofrecieron servicios gratuitos de supervisión del crédito y protección contra el robo de identidad a quienes cumplían los requisitos.

Las declaraciones públicas no califican el incidente como ransomware, no identifican a ningún grupo responsable ni afirman que se haya confirmado el robo de la información. Por tanto, el incidente se registra como un acceso no autorizado a la red, mientras que el autor y la causa raíz siguen sin confirmarse.

Quienes reciban una notificación deben revisar periódicamente sus informes de crédito para detectar cuentas que no reconozcan y, cuando corresponda, considerar un bloqueo gratuito del crédito o una alerta de fraude. Las cuentas y transacciones sospechosas deben comunicarse a la institución financiera correspondiente, a las agencias de información crediticia y a las autoridades.

No comparta un número del Seguro Social, una contraseña ni un código de verificación de un solo uso en respuesta a un correo electrónico, una llamada o un mensaje inesperados. Las solicitudes que afirmen proceder de Cooper, de un banco o de un organismo público deben verificarse mediante los datos de contacto del sitio web oficial de la organización, no mediante los enlaces o números incluidos en el mensaje.