Filtración de datos de Decatur Diagnostic Laboratory en 2026

La fuente principal es el Aviso de incidente de privacidad de datos, al que se accede desde el sitio web de Decatur Diagnostic Laboratory. La empresa explica directamente las afirmaciones sobre el robo de datos, la investigación forense exhaustiva, el conjunto de datos extraído, los campos verificados, las medidas de seguridad adicionales y las medidas de protección recomendadas a las personas afectadas.

La segunda confirmación procede del informe de filtración de la Oficina de Derechos Civiles de HHS (HHS OCR), que identifica a DDL como proveedor de atención médica, clasifica el suceso como un incidente de intrusión informática/TI relacionado con un servidor de red, señala que afectó a 500 personas e indica el 16 de junio de 2026 como fecha de presentación. Claim Depot incorpora a la cronología la afirmación de robo de datos que se hizo pública el 14 de abril y enlaza tanto el registro de HHS como los avisos oficiales.

Una fuente secundaria confiable informa que el 14 de abril se hicieron públicos un ciberataque y una afirmación de robo de datos relacionados con el laboratorio. El comunicado oficial de DDL no identifica a ningún atacante ni indica una fecha de acceso, pero confirma que la empresa tuvo conocimiento de afirmaciones de robo relacionadas con sus datos y que se extrajo información del conjunto de datos del incidente.

La fecha del incidente se basa en la actividad técnica más temprana que puede verificarse mediante fuentes públicas.

DDL inició una investigación forense exhaustiva a cargo de un tercero y una revisión de los datos para determinar si contenían información sensible y a quién correspondía. Según la carta oficial dirigida a consumidores en Massachusetts, ese trabajo concluyó alrededor del 28 de mayo de 2026 y determinó que los archivos afectados podían haber contenido información personal.

La empresa notificó a las personas potencialmente afectadas, adoptó medidas de contención en su red e implementó medidas de seguridad adicionales destinadas a reducir la probabilidad de un incidente similar. La carta de Massachusetts está fechada el 13 de julio de 2026 y ofrece un servicio de monitoreo gratuito a través de IDX. DDL afirmó que no encontró evidencia de fraude ni de uso indebido, lo que no significa que el riesgo futuro sea nulo.

El conjunto de datos extraído puede contener un nombre junto con uno o varios de los siguientes datos: fecha de nacimiento, número de licencia de conducir o número de Seguro Social. Estos campos generan un riesgo considerable de robo de identidad, apertura fraudulenta de cuentas, fraude crediticio e ingeniería social dirigida.

El aviso oficial no afirma que todos los campos estuvieran presentes para las 500 personas; indica expresamente que algunas personas no tenían información en el conjunto de datos y que los campos variaban según la persona. Por ello, LeakData no da por hecho que el SSN o el número de licencia de conducir de todas las personas estuviera incluido. No se añaden contraseñas, tarjetas de pago ni cuentas bancarias porque la fuente no las enumera.

Los posibles campos relacionados con la atención médica son un código de paciente y un número de historia clínica. Dado que DDL ofrece pruebas diagnósticas y servicios de laboratorio, estos identificadores son sensibles porque permiten vincular a una persona con un registro de laboratorio y pueden aumentar el riesgo de suplantación de identidad en el ámbito médico.

El aviso oficial no incluye diagnósticos, resultados de pruebas, tratamientos, recetas, seguros de salud ni historias clínicas detalladas entre los campos afectados. El alcance se limita a las categorías que la fuente menciona explícitamente.

Las personas afectadas deben revisar sus cuentas financieras, informes crediticios y documentos de explicación de beneficios del seguro de salud para detectar actividad inusual durante los próximos 12 a 24 meses. Si aparece una cuenta, una consulta crediticia, un servicio de laboratorio o una reclamación al seguro que no reconozcan, deben comunicarse con la organización correspondiente a través de un canal verificado; también puede ser conveniente activar una alerta de fraude o un congelamiento gratuito del crédito.

DDL publicó el número 256-355-9045 en el aviso de su sitio web e incluyó una línea de asistencia de IDX en las cartas individuales. No se deben compartir los SSN, los datos de la licencia de conducir ni la información de salud a través de enlaces o llamadas inesperados de quienes afirmen representar a la empresa. Si aparece un mensaje sospechoso o se detecta una actividad sospechosa en una cuenta, se debe verificar a través del canal de contacto oficial vigente de la organización, sin utilizar los enlaces del mensaje. Cuando se dispone de una carta de notificación individual, esta es la fuente principal para conocer qué datos de esa persona están involucrados y qué opciones de protección se ofrecen. Las fechas y las categorías de datos deben interpretarse únicamente en la medida en que estén respaldadas por fuentes públicas; los detalles no divulgados no deben considerarse confirmados. La revisión periódica del crédito y de las cuentas financieras y de atención médica puede ayudar a detectar a tiempo un posible uso indebido.