Brecha de datos de Denton County MHMR Center de 2024

La prueba principal es el aviso de seguridad de los datos publicado en el dominio del propio centro, actualizado el 30 de diciembre de 2025, junto con el PDF del aviso inicial al que enlaza. El aviso indica que una parte no autorizada accedió a información de la red entre el 24 y el 25 de diciembre de 2024. Este hallazgo confirma que el acceso abarcó datos protegidos; no se trata simplemente de indicios de una interrupción del servicio o de actividad sin explicación.

La entrada de HHS OCR clasifica a Denton MHMR Center como proveedor de atención médica, el suceso como un incidente de intrusión informática o de IT y la ubicación de la información como un servidor de red; señala que hubo 108 967 personas afectadas. HIPAA Journal comparó de forma independiente el aviso oficial, el registro federal y la lista actualizada de campos de datos. Las tres fuentes coinciden en la organización, el período de acceso y el alcance.

El centro detectó actividad inusual en la red alrededor del 24 de diciembre de 2024, protegió el entorno e inició una investigación con especialistas externos. La revisión determinó que la parte no autorizada tuvo acceso durante un período limitado, del 24 al 25 de diciembre. La fecha del incidente se basa en la primera actividad técnica que puede verificarse a partir de fuentes públicas.

Cuando la organización publicó un aviso sustitutivo inicial el 21 de febrero de 2025, la revisión de los archivos y de la población afectada seguía en curso. El 10 de octubre determinó el alcance detallado de los tipos de datos potencialmente afectados, el 5 de noviembre notificó el suceso a HHS OCR y posteriormente informó a los fiscales generales estatales. El aviso web se actualizó el 30 de diciembre para incluir los servicios de monitoreo de crédito y protección de la identidad.

La lista oficial vigente incluye nombres, direcciones, números de identificación de pacientes, fechas de nacimiento, diagnósticos, historiales médicos, números de historia clínica, tratamientos médicos, información de laboratorio, nombres de los médicos tratantes, medicamentos, vacunas, información del seguro médico e identificadores biométricos. Las cifras de personas, los campos de datos y las afirmaciones de los actores de amenazas que no se han verificado no se consideran parte del alcance público del incidente.

El PDF de febrero, publicado antes de que concluyera la revisión, también señalaba los números de la Seguridad Social y de cuentas bancarias como posibles campos afectados. La página actualizada de diciembre presenta los resultados detallados del análisis concluido y no vuelve a mencionar esos dos elementos.

El número de personas o registros afectados publicado por la fuente oficial representa el alcance notificado del incidente. No significa que todas las categorías de datos mencionadas correspondieran a cada persona. HIPAA Journal identifica a la población afectada como pacientes actuales y anteriores. La cifra contabiliza a las personas incluidas en el alcance de la notificación, no archivos copiados, filas ni campos; una misma persona puede tener varios tipos de información afectados.

El texto oficial confirma el acceso a cierta información, pero no afirma que se extrajeran, publicaran o vendieran archivos. Las cifras de personas, los campos de datos y las afirmaciones de los actores de amenazas que no se han verificado no se consideran parte del alcance público del incidente. Tampoco atribuye todas las categorías de datos enumeradas a las 108 967 personas.

El centro protegió su red tras detectar la actividad inusual y contrató a especialistas para investigar. Posteriormente, trabajó con expertos externos en ciberseguridad para implementar protecciones adicionales en la red y revisó y reforzó sus políticas y procedimientos de protección de datos. El aviso inicial también indica que se informó a las autoridades policiales.

El aviso actualizado señala que se ofrecieron servicios gratuitos de monitoreo de crédito y protección de la identidad a las personas potencialmente afectadas. En el momento de la notificación, el centro afirmó que no tenía indicios de uso indebido de la información relacionado con el incidente. Que no se haya observado un uso indebido no elimina el riesgo a más largo plazo que supone la información médica y biométrica sensible.

Si ha recibido una notificación, puede utilizar la línea de asistencia específica del centro para confirmar si reúne los requisitos y cuáles son los plazos de inscripción en los servicios ofrecidos de monitoreo de crédito y protección de la identidad. Revise periódicamente sus informes de crédito, estados de cuenta y documentos de explicación de beneficios del seguro médico para detectar cuentas, transacciones, médicos, servicios de laboratorio o reclamaciones al seguro que no reconozca.

Si aparece un registro de atención médica, una receta, una vacunación o una anotación del seguro que no reconoce, póngase en contacto con el proveedor de atención médica y la aseguradora a través de canales oficiales conocidos. Como los datos biométricos no pueden cambiarse como una contraseña, las solicitudes inesperadas de verificación de identidad requieren especial cautela.