Brecha de datos de Covenant Health de 2025

La página oficial de Covenant Health titulada «Aviso de incidente de seguridad de los datos» publica la fecha en que la parte no autorizada entró en su entorno de tecnologías de la información (IT), la fecha de detección, la confirmación del acceso a información de pacientes y los campos afectados. La organización indicó que comenzó a enviar cartas por correo a las personas que se sabía que estaban afectadas el 11 de julio de 2025 y que enviaría avisos adicionales a medida que su revisión detallada de los datos identificara a más pacientes.

La notificación actualizada ante la Fiscalía General de Maine establece el alcance final ampliado de 478 188 personas. SecurityWeek informó de manera independiente tanto del aviso de la empresa como del aumento respecto de las 7 800 personas incluidas en la notificación inicial. Las fuentes coinciden en que se accedió efectivamente a información de pacientes; la afirmación del grupo Qilin sobre 850 GB y 1,3 millones de archivos no constituye un total de personas confirmado por la empresa y no se utiliza como recuento de registros.

La investigación forense determinó que la parte no autorizada accedió al entorno de Covenant Health el 18 de mayo de 2025. La organización recibió una alerta sobre una actividad inusual el 26 de mayo y comenzó a proteger y restablecer los sistemas mientras investigaba el origen del incidente. El primer aviso público y las primeras cartas se emitieron el 11 de julio, cuando aún estaba en curso la revisión de la información y las personas afectadas.

La conclusión de la revisión detallada de los datos en diciembre dio lugar a un aumento considerable del número de personas afectadas declarado. La actualización del 31 de diciembre en Maine registra 478 188 personas. Esta secuencia muestra cómo un aviso inicial puede reflejar únicamente el subconjunto verificado en ese momento; LeakData utiliza el recuento oficial más reciente del organismo regulador, en lugar de mantener la cifra provisional más baja como impacto definitivo.

La empresa indicó que el contenido variaba según el paciente, pero podía incluir su nombre y uno o más campos adicionales. Las categorías confirmadas son direcciones, fechas de nacimiento, números de historia clínica y números del Seguro Social. Estos identificadores pueden utilizarse indebidamente para verificar identidades, vincular cuentas de servicios de salud y cometer fraude financiero, por lo que al incidente se le asignan una gravedad alta y una sensibilidad crítica.

Las categorías relacionadas con la salud también incluían información sobre tratamientos, como diagnósticos, fechas y tipos de tratamiento, así como información del seguro de salud.

Covenant Health tiene su sede en Andover, Massachusetts, y presta servicios de salud en Nueva Inglaterra y Pensilvania. El aviso oficial identifica como entidades afiliadas a St. Joseph Hospital en Nashua, Nuevo Hampshire; St. Joseph Healthcare en Bangor, Maine; y St. Mary's Health System en Lewiston, Maine. Esta entrada las trata como una única brecha cubierta por la misma investigación corporativa.

La cifra de 478 188 es el total actualizado de personas afectadas de Covenant Health, no una estimación obtenida al sumar por separado las notificaciones de cada centro ante los organismos reguladores. Por ello, no se crean registros separados para los hospitales afiliados ni se vuelve a contar deliberadamente a una persona cuya información figurara en más de un centro. No se presupone que se hayan visto afectados todos los servicios en cada uno de los estados donde opera la organización; el alcance sigue limitado a las personas notificadas.

Covenant Health ofreció servicios gratuitos de monitoreo de crédito y protección contra el robo de identidad a las personas cuyos números del Seguro Social pudieran haberse visto afectados. Quienes reciban el aviso deben inscribirse dentro del plazo indicado, vigilar sus informes de crédito para detectar nuevas cuentas y revisar las reclamaciones de seguros que no reconozcan. Si en un estado de cuenta de su seguro de salud figura un servicio que usted no recibió, debe ponerse en contacto cuanto antes con la aseguradora y la organización sanitaria.

La empresa indicó que, en la fecha del aviso, no tenía conocimiento de un uso fraudulento de información personal relacionado con el incidente. Esto no elimina el riesgo a largo plazo, especialmente porque los números del Seguro Social y de historia clínica son difíciles o imposibles de sustituir. Según la exposición documentada de cada persona, se puede considerar la posibilidad de congelar el crédito, activar una alerta de fraude, utilizar una autenticación multifactor robusta y vigilar las cuentas tributarias.

El número de personas afectadas o de registros publicado por la fuente oficial representa el alcance declarado del incidente. No significa que todas las categorías de datos divulgadas correspondieran a todas las personas. La fecha del incidente se basa en la primera actividad técnica que puede verificarse mediante fuentes públicas. La detección el 26 de mayo, la notificación inicial el 11 de julio y la conclusión de la revisión en diciembre son etapas distintas; las 7 800 personas del antiguo aviso provisional no se suman al total final.

La entrada contiene únicamente el resumen verificado del incidente, el recuento actual de personas, las categorías de datos, la cronología y las recomendaciones de protección. Si el organismo regulador o la empresa publica una corrección más reciente, el total y el contenido podrán reevaluarse a partir de ese documento primario.