Brecha de seguridad de datos de Evergreen Healthcare Group de 2025

La fuente principal es el PDF «Aviso de brecha de seguridad de datos», fechado el 25 de febrero de 2026 y alojado en evergreenhcg.com, el dominio de EHG. El documento recoge la versión de EHG sobre el descubrimiento del 3 de diciembre, la plataforma sanitaria en la nube, el posible acceso a archivos, los tipos de datos revisados, las medidas de seguridad y la línea de asistencia 855-522-1474.

La segunda fuente es el registro federal de HHS/OCR correspondiente a la notificación del 24 de febrero de 2026, con 11 795 personas. La tercera es el documento de Couve Healthcare Consulting DBA Evergreen Healthcare Group publicado como expediente «2026-272» en el archivo oficial de avisos de Massachusetts, en mass.gov. Las fuentes coinciden en cuanto a la entidad, la naturaleza del incidente y el proceso de notificación.

El PDF del sitio web de EHG es un aviso sustitutivo emitido en nombre de Golden Sonora Care Center por EHG, en su calidad de socio comercial de dicho centro. Por tanto, se trata de un aviso específico para un cliente, vinculado al incidente en la plataforma de EHG. En cambio, el registro federal de HHS señala a Couve Healthcare Consulting DBA Evergreen Healthcare Group como la entidad notificante e identifica su condición de socio comercial.

La cifra de 11 795 es el total que figura en el registro de HHS/OCR para EHG; el PDF oficial no afirma que todas esas personas correspondan exclusivamente a Golden Sonora Care Center. Esta ficha se centra en el incidente de EHG sin confundir ambas entidades, identifica a Golden Sonora como el cliente al que se refiere el aviso y no atribuye cifras por cliente o por centro que las fuentes no proporcionan.

EHG afirma que tuvo conocimiento de una actividad no autorizada en su plataforma sanitaria en la nube en torno al 3 de diciembre de 2025 y que aplicó de inmediato su plan de respuesta a incidentes. El aviso público no revela la fecha del primer acceso de la parte no autorizada ni cuánto tiempo duró el acceso. La fecha del incidente se basa en la actividad técnica más temprana que puede verificarse a partir de fuentes públicas.

Posteriormente, la organización revisó los archivos que podrían haberse visto afectados para identificar la información que contenían y las personas a las que correspondía. Tras completar la revisión, notificó a las personas afectadas mediante el servicio U.S. First Class Mail el 24 de febrero de 2026. El documento publicado en el sitio web el 25 de febrero es un aviso sustitutivo destinado a llegar a quienes no pudieron recibir una notificación directa; ninguna de las dos fechas de notificación se presenta como el inicio del ataque.

Según el aviso oficial de EHG, la información que podría haber sido objeto de acceso no autorizado incluía nombres, números de la Seguridad Social, fechas de nacimiento e información médica. El documento indica que «podría haberse accedido» a los archivos y que la información «podría haber sido objeto de acceso no autorizado»; no afirma que se consultaran todos los campos de cada persona.

La combinación de datos puede variar de una persona a otra. Un número de la Seguridad Social junto con una fecha de nacimiento puede aumentar el riesgo de fraude de identidad, mientras que la información médica puede generar riesgos más duraderos para la privacidad y la identidad médica.

El número de personas afectadas o de registros publicado por la fuente oficial representa el alcance comunicado del incidente. No significa que todas las categorías de datos mencionadas correspondieran a cada persona. Tampoco es una cifra de archivos, documentos, historias clínicas o filas descargados por la parte responsable. El registro de HHS también vincula la intrusión informática o incidente de TI con un entorno de historias clínicas electrónicas.

Cuando se dispone de un aviso oficial individual, las categorías de datos y las opciones de protección que figuran en él deben servir de referencia para evaluar la exposición de los datos personales.

EHG afirmó que protegió la plataforma afectada, verificó la seguridad de los sistemas internos y comenzó a implementar salvaguardas técnicas adicionales, medidas de seguridad reforzadas y procedimientos actualizados. Ofreció a las personas afectadas servicios gratuitos de seguimiento crediticio y de recuperación en caso de robo de identidad. En el momento del aviso, EHG afirmó que no había recibido informes de uso indebido de información personal relacionado con el incidente.

Las personas que reciban el aviso deben seguir las instrucciones de inscripción de su carta, supervisar sus informes crediticios y cuentas financieras, y revisar cualquier actividad sanitaria que no reconozcan. Las comunicaciones sospechosas que mencionen a EHG pueden verificarse a través de evergreenhcg.com o de la línea 855-522-1474, disponible de lunes a viernes de 8:00 a. m. a 8:00 p. m., hora del Este.