Brecha de datos de CPAP Medical de 2024

La fuente principal es la Notificación de incidente de seguridad de los datos emitida por CPAP Medical Supplies and Services. En ella se describen directamente el acceso no autorizado a la red, la investigación forense y la revisión documental, el período de acceso, el inicio de las notificaciones, el monitoreo de crédito ofrecido a las personas cuyos números del Seguro Social figuraban en los datos afectados y las recomendaciones de protección.

La segunda fuente es el portal de brechas de datos de HHS OCR, que confirma el alcance de 90 133 personas y las clasificaciones del incidente. La tercera es el informe de HIPAA Journal del 20 de agosto de 2025, que describe de forma independiente las fechas y las categorías de datos a partir de la notificación presentada ante el fiscal general de Maine. Las fuentes coinciden en la organización, el alcance, el acceso a la red y las fechas de revisión.

Un actor no autorizado entró en el entorno de red de CPAP Medical el 13 de diciembre y mantuvo el acceso hasta el 21 de diciembre. Cuando la organización tuvo conocimiento del incidente, afirmó que había contenido la amenaza, protegido su entorno interno e iniciado una investigación exhaustiva con profesionales externos de ciberseguridad para determinar si se habían visto afectados datos personales o sensibles.

Tras una investigación forense y una compleja revisión manual de documentos, CPAP Medical determinó el 27 de junio de 2025 que los sistemas afectados contenían información identificable de salud y datos personales identificables. Las notificaciones comenzaron el 15 de agosto en los casos en que se disponía de información de contacto. La fecha del incidente se basa en la actividad técnica más temprana que puede verificarse a partir de fuentes públicas.

Según el informe de HIPAA Journal basado en la documentación presentada ante las autoridades reguladoras, los archivos podían contener nombres completos, fechas de nacimiento, números del Seguro Social, información financiera y bancaria, información médica e información del seguro de salud. La notificación oficial en línea también confirma la presencia de información personal identificable e información de salud protegida, e indica que algunos archivos afectados contenían números del Seguro Social.

La organización no afirmó que todos los campos correspondieran a las 90 133 personas. Por ello, esta entrada no suma las categorías de datos para calcular totales de subgrupos ni incluye direcciones de correo electrónico, contraseñas o datos de tarjetas de pago que no se hayan comunicado. Aunque los archivos pueden haber sido consultados o exfiltrados, las fuentes no establecen que se hayan publicado o vendido a un grupo de amenazas identificado.

El número de personas afectadas o de registros publicado por la fuente oficial representa el alcance comunicado del incidente. No significa que todas las categorías de datos comunicadas correspondieran a cada persona. El mismo total aparece en los informes basados en la documentación presentada ante el fiscal general de Maine. Se contabilizan las personas incluidas en el grupo al que se dirige la notificación, no los archivos, las recetas, los pedidos de equipos, las solicitudes de reembolso al seguro ni los datos individuales.

CPAP Medical, con sede en Jacksonville, ofrece productos para la terapia del sueño y equipos CPAP, especialmente a familias de militares y a militares en servicio activo o retirados.

CPAP Medical afirmó que había contenido la amenaza, protegido sus sistemas, realizado una investigación forense con profesionales externos y completado una revisión documental. La organización también indicó que evalúa y modifica continuamente sus prácticas y controles internos para mejorar la seguridad y la privacidad de la información personal.

En el momento de la notificación no se habían encontrado pruebas de uso indebido derivado del incidente. Aun así, las personas cuyos números del Seguro Social se habían visto involucrados recibieron monitoreo de crédito gratuito, y se recomendó a los destinatarios que revisaran sus cuentas financieras, sus informes de crédito y los documentos de explicación de beneficios de su seguro de salud. La ausencia de un uso indebido conocido no elimina el riesgo futuro.

Si recibió una notificación, active el monitoreo ofrecido dentro del plazo de inscripción indicado y revise sus informes de crédito, sus movimientos bancarios y los registros de su seguro de salud para detectar cuentas, transacciones o servicios que no reconozca. Cualquier registro sospechoso debe notificarse mediante un canal oficial de contacto ya conocido de la entidad financiera, la aseguradora o el proveedor de atención médica.

La vinculación con comunidades militares, combinada con la información de salud, puede hacer más convincentes los intentos de phishing dirigido. No abra directamente los enlaces de mensajes inesperados que afirmen provenir de CPAP Medical, de un programa de beneficios para militares, de un banco o de una aseguradora; inicie el contacto a través de un sitio oficial o de un número verificado.