Filtración de datos de Episource 2025

En las notificaciones verificadas, la información en riesgo incluye, en primer lugar, datos de contacto como el nombre, la dirección, el número de teléfono y la dirección de correo electrónico. También puede incluir datos del seguro de salud, como información sobre el plan de salud y la póliza, datos de la aseguradora, números de identificación del afiliado o del grupo e identificadores de Medicaid, Medicare o programas públicos de pago. En cuanto a los datos de salud, se ha comunicado que las categorías afectadas incluyen el número de historia clínica, el nombre del médico, información sobre diagnósticos y medicamentos, resultados de pruebas, imágenes e información sobre atención y tratamientos.

En algunos casos, también pueden haberse visto afectados el número de la Seguridad Social, la fecha de nacimiento u otro número de identificación. Esta combinación de datos supone un riesgo elevado, ya que puede utilizarse tanto para verificar identidades como para cometer fraudes en el ámbito sanitario. Un atacante podría usar detalles sobre el plan de seguro, el número de afiliado, el diagnóstico, los medicamentos o el médico para crear llamadas y mensajes fraudulentos muy convincentes. Para las personas cuyo número de la Seguridad Social o fecha de nacimiento se hayan visto afectados, el riesgo de fraude crediticio y robo de identidad es aún mayor.

El periodo de acceso verificado en este incidente abarca del 27 de enero de 2025 al 6 de febrero de 2025; se considera que la fecha de detección fue el 6 de febrero de 2025. La cifra de 6 725 572 personas incluida en el registro corresponde al total de personas afectadas según el informe federal más reciente sobre vulneraciones de datos de salud. El incidente se ha clasificado como un ciberataque a un servidor de red. La empresa declaró que, tras el incidente, se puso en contacto con las autoridades policiales, trabajó con expertos externos y reforzó sus sistemas.

Este registro no afirma que se hayan visto afectados los mismos tipos de datos para todas las personas. La notificación indica que los datos consultados y copiados varían de una persona a otra. La información financiera y bancaria, así como los datos de tarjetas de pago, no se vieron afectados en su mayor parte, por lo que estas categorías no se utilizaron como tipos de datos principales en la descripción de los riesgos. El registro tampoco presupone que el incidente afecte a todos los clientes de los planes de salud; la notificación de la empresa solo se refiere a los clientes afectados y a los datos de sus pacientes o afiliados.

Las personas en riesgo son pacientes y afiliados cuyos expedientes se procesan a través de los planes de salud, médicos y empresas del sector sanitario a los que Episource presta servicios. Puede que no todos los usuarios conozcan directamente a Episource como marca de consumo; por ello, una persona afectada puede descubrir que el incidente se originó en Episource al recibir una notificación de su propio plan de salud o proveedor de atención sanitaria. Esta situación es especialmente habitual en los incidentes que afectan a proveedores del sector sanitario.

El mayor riesgo corresponde a las personas cuyos datos afectados incluyen el número de la Seguridad Social, la fecha de nacimiento, un diagnóstico, información sobre medicamentos, resultados de pruebas o el número de historia clínica, junto con información del seguro de salud. Estas personas pueden ser objeto de engaños relacionados con falsas actualizaciones del plan de salud, correcciones de facturas erróneas, verificaciones de recetas, resultados de laboratorio, coordinación de la atención o comprobaciones de afiliación al seguro. Dado que los datos de salud no se pueden modificar, el riesgo no se limita al periodo en el que se anuncia el incidente.

Si puede haberse visto afectado, revise primero y de forma periódica las explicaciones de beneficios, los estados de prestaciones y los documentos de facturación de su plan de salud y de sus proveedores de atención sanitaria. Si detecta un servicio que no ha recibido, una receta, un diagnóstico o una prueba que no reconoce, o una solicitud de pago desconocida, póngase en contacto directamente con el plan de salud o el proveedor de atención sanitaria. Si entre los datos afectados se incluyen su número de la Seguridad Social o su fecha de nacimiento, considere medidas adicionales como revisar los informes de crédito, solicitar un bloqueo de crédito y activar alertas de fraude.

No facilite información a personas que afirmen representar a un plan de salud, un consultorio médico, una aseguradora o un servicio de protección en correos electrónicos, mensajes de texto o llamadas inesperados. Verifique por un canal independiente cualquier comunicación que solicite su número de afiliado, número de la Seguridad Social, código de verificación, contraseña de la cuenta o información de pago. Utilice contraseñas únicas y verificación en dos pasos para su cuenta de salud y sus cuentas de correo electrónico, y revise con atención las notificaciones sospechosas de recuperación de cuentas.

Este incidente demuestra el gran alcance que puede tener el impacto de los sistemas de proveedores y socios en el sector sanitario. Los procesos de codificación médica, ajuste de riesgos y medición de la calidad pueden reunir datos sensibles de numerosos planes de salud. Por ello, las organizaciones deben aplicar de forma continua medidas de minimización de datos, separación de datos por cliente, registro de accesos a archivos, segmentación de redes, cifrado, detección rápida de vulneraciones y auditorías de seguridad de proveedores.

La protección a largo plazo de los usuarios debe plantearse con una perspectiva más amplia debido al carácter permanente de los datos de salud. La información sobre diagnósticos, medicamentos, resultados de pruebas y afiliación al seguro puede utilizarse en fraudes dirigidos incluso años después. Si se ha visto afectado, siga revisando periódicamente los estados de cuenta y resúmenes de prestaciones, las notificaciones de los portales de salud, los mensajes de autenticación y los registros de crédito. Si encuentra un servicio sanitario o una operación del seguro que no esperaba, verifique su legitimidad cuanto antes.

Este registro de LeakData se ha elaborado para presentar de forma comprensible el número actual de personas afectadas, la fecha del incidente y los tipos de datos comunicados de la filtración de Episource de 2025. La aparición de este registro en una consulta de correo electrónico o dominio no demuestra por sí sola a través de qué plan de salud o proveedor se vio afectada una persona. No obstante, indica que los usuarios que hayan recibido notificaciones relacionadas con planes de salud, ajuste de riesgos, codificación médica o servicios sanitarios asociados deben revisar sus alertas.

Cuando vea este registro, revise primero las notificaciones de su propio plan de salud, las cartas sobre la filtración que haya recibido por correo postal y los movimientos de su cuenta de salud. Si detecta un servicio médico, una reclamación al seguro, un intento de verificación de identidad o un cambio en la cuenta que resulte sospechoso, póngase en contacto directamente con el plan de salud, el proveedor de atención sanitaria o la entidad financiera correspondiente. El registro se ha clasificado con un nivel de sensibilidad crítico porque incluye riesgos relacionados con el seguro de salud, los datos médicos y, para algunas personas, el número de la Seguridad Social.