Brecha de seguridad de Cure Dental de 2025

La fuente principal es el aviso a los pacientes que Cure Dental publicó en su propio sitio web. La clínica explica directamente la fecha del descubrimiento, la respuesta técnica, los tipos de datos personales que podrían haberse visto afectados, su conclusión de que la información de salud protegida (PHI) de los pacientes no se vio afectada y las medidas de protección de la identidad recomendadas a los pacientes.

La segunda confirmación procede del informe de brechas de HHS OCR, que identifica a Cure Dental como proveedor de atención sanitaria, clasifica el suceso como un incidente de intrusión informática/IT relacionado con un servidor de red, registra 878 personas afectadas e indica el 23 de junio de 2026 como fecha de presentación. Claim Depot informa de forma independiente del mismo número de personas, la misma fecha de descubrimiento y las mismas categorías de datos, basándose en la página oficial y el registro de HHS.

Tras detectar el acceso informático no autorizado, la clínica bloqueó de inmediato su red, interrumpió las conexiones externas, deshabilitó las cuentas con acceso al escritorio remoto a través de la web y exigió el restablecimiento de las contraseñas en toda la clínica. Su plataforma de ciberseguridad detectó y detuvo eficazmente la propagación de la actividad maliciosa por la red.

El texto oficial describe lo que parecía ser un ataque de ransomware, pero no identifica a ningún atacante ni grupo. Posteriormente, el intruso contactó varias veces con la clínica y exigió que el personal activara manualmente los archivos de malware que había dejado en el sistema; el personal no accedió y los intentos cesaron. Las cifras de personas, los tipos de datos y las afirmaciones sobre los responsables que no se han verificado no se consideran parte del alcance público del incidente.

La investigación determinó que la plataforma de historiales de pacientes, aunque estaba restringida, se restableció rápidamente y que los datos archivados no se vieron afectados. Aun así, la clínica concluyó que durante el incidente se pudo haber accedido a algunos datos personales de los pacientes. Las fuentes no revelan el número exacto de archivos, el volumen de descargas ni la duración del acceso.

La fecha del incidente se basa en la actividad técnica más temprana que puede verificarse mediante fuentes públicas. El aviso oficial indica que se pudo haber accedido a la información, pero no confirma que se publicara o vendiera. La fecha de presentación ante HHS, aproximadamente un año después, corresponde a un trámite de notificación regulatoria, no a la fecha del incidente.

Los datos que podrían haberse visto afectados incluyen el nombre, la dirección, la fecha de nacimiento, el número del Seguro Social y el número de licencia de conducir. Esta combinación supone un riesgo considerable de apertura fraudulenta de cuentas, suplantación de identidad, fraude crediticio e ingeniería social dirigida. La clínica también informó de que un paciente recibió una llamada de alguien que se hacía pasar por un profesional de tecnologías de la información.

El paciente colgó de inmediato e informó a la clínica, y Cure Dental informó de que no hubo más actividad sospechosa. La página oficial no indica que todos los tipos de datos estuvieran presentes para las 878 personas ni ofrece cifras desglosadas por tipo de dato.

Cure Dental declaró expresamente que el incidente no afectó a la información de salud protegida de los pacientes, como la información sobre tratamientos y pagos. También indicó que la plataforma de historiales de pacientes se había restablecido y que los datos archivados no se habían visto afectados.

La vinculación con una clínica dental puede seguir siendo relevante para la privacidad, pero las fuentes disponibles no confirman la exposición de información de salud más allá de esa relación.

Las personas potencialmente afectadas deben obtener informes gratuitos de las tres principales agencias de informes crediticios, revisar las cuentas y consultas que no reconozcan y considerar la posibilidad de activar una alerta de fraude o una congelación gratuita del crédito. Nunca se deben compartir datos de identidad con quienes llamen afirmando representar a Cure Dental; la verificación debe iniciarse a través de un canal de contacto del sitio web oficial de la clínica.

La clínica publicó el número gratuito 888-766-1488 para consultas sobre el incidente. Deben conservarse las pruebas de cualquier cuenta o consulta crediticia que no se reconozca, o de cualquier llamada de suplantación de identidad, y comunicarse a la organización correspondiente y, cuando proceda, a las autoridades policiales. Si aparece un mensaje sospechoso o se detecta actividad sospechosa en una cuenta, debe verificarse a través del canal de contacto oficial vigente de la organización, sin utilizar los enlaces del mensaje. Cuando se disponga de una carta de notificación individual, esta será la fuente principal para conocer qué datos de esa persona están afectados y qué opciones de protección se ofrecen. Las fechas y las categorías de datos deben interpretarse únicamente en la medida en que estén respaldadas por fuentes públicas; los detalles no divulgados no deben darse por confirmados.