Brecha de datos de Endue Software de 2025

El aviso oficial de Endue sobre el incidente describe el acceso no autorizado, la copia de archivos, las fechas, los tipos de datos que pudieron verse implicados y el proceso de notificación. La empresa confirma que durante el incidente se copiaron archivos de determinados sistemas internos.

El registro de HHS OCR identifica a la misma organización como asociado comercial, indica un total de 118 028 personas y clasifica el suceso como un incidente de piratería informática/IT relacionado con un servidor de red. Esa cifra no significa que estuvieran presentes todos los tipos de datos de cada persona.

Endue tuvo conocimiento de un posible acceso no autorizado a determinados sistemas el 17 de febrero de 2025 y adoptó medidas para proteger su entorno. A continuación, inició una investigación para determinar la naturaleza y el alcance de la actividad.

La investigación determinó que una persona no autorizada accedió brevemente a determinados sistemas informáticos el 16 de febrero y copió archivos de algunos sistemas internos. El aviso de la empresa no revela el método de acceso inicial, la vulnerabilidad técnica ni la identidad de la persona responsable.

El aviso oficial señala que los tipos de datos variaban según la persona y podían incluir nombres completos, direcciones, números de la Seguridad Social, fechas de nacimiento o números de historia clínica.

No debe darse por hecho que la lista completa se aplique a las 118 028 personas. No se incluyen direcciones de correo electrónico, contraseñas, tarjetas de pago, cuentas bancarias, diagnósticos ni detalles de tratamientos, ya que el aviso no los enumera por separado.

Un nombre, una dirección, una fecha de nacimiento y un número de la Seguridad Social pueden combinarse para facilitar la suplantación de identidad, la apertura fraudulenta de cuentas, las solicitudes de crédito o el fraude fiscal.

Un número de historia clínica puede dar credibilidad a mensajes que suplantan a entidades sanitarias o utilizarse en solicitudes falsas para modificar una historia clínica o una factura. Conocer un número de historia clínica real no demuestra que quien llama o envía un mensaje sea legítimo.

La empresa afirma que protegió su entorno, investigó el alcance del incidente y revisó los archivos copiados para identificar la información sensible y a las personas implicadas. Comenzó a enviar avisos por correo postal a las personas de las que tenía direcciones válidas.

En su aviso del 11 de abril de 2025, Endue indicó que no tenía constancia de fraudes ni intentos de fraude por suplantación de identidad derivados del incidente. Esa declaración no garantiza que no pueda producirse un uso indebido más adelante.

Si recibe un aviso, revise periódicamente sus informes de crédito y la actividad de sus cuentas financieras para detectar cuentas o transacciones que no reconozca. Si le han comunicado que su número de historia clínica se vio implicado, compruebe también con el proveedor correspondiente cualquier cambio inesperado en su historia clínica o en la facturación.

No facilite su número de la Seguridad Social, contraseña o código de verificación en respuesta a una llamada o un mensaje inesperados. Si le han notificado que su número de la Seguridad Social se vio implicado, puede considerar solicitar una congelación gratuita del crédito o una alerta de fraude.