Filtración de datos de Excelsior Orthopaedics de 2024

La fuente principal es la notificación modificada que figura en el portal oficial de la Fiscalía General de Maine. La carta enlazada documenta el descubrimiento del 23 de junio, los resultados iniciales del análisis forense, el alcance entre pacientes y empleados, las sucesivas rondas de notificaciones y la respuesta de la organización. La comunicación modificada posterior eleva el total de personas afectadas comunicado previamente a 394 752.

La segunda fuente es el portal oficial de filtraciones de la Oficina de Derechos Civiles del HHS, donde la entrada de Excelsior Orthopaedics informa de 292 913 personas afectadas por un incidente de hackeo/IT en un servidor de red el 21 de agosto de 2024. Fuente pública sobre la filtración de datos coteja de forma independiente la comunicación modificada de Maine y las notificaciones estatales de septiembre de 2025, y documenta el total general actualizado y las categorías de datos expuestos.

Excelsior identificó actividad inusual en su red el 23 de junio. La entidad desconectó el acceso externo a la red, aisló los equipos sospechosos, cambió las credenciales de usuarios y administradores y contrató a una empresa especializada en ciberseguridad para realizar una investigación forense. Los resultados iniciales mostraron que se habían visto comprometidos datos de pacientes y empleados, tanto actuales como antiguos.

A continuación, Excelsior trabajó con especialistas externos en revisión de datos para vincular los archivos comprometidos con las personas correspondientes. Un pequeño grupo inicial recibió notificaciones en agosto de 2024; una vez concluida la mayor parte del proceso de minería de datos en diciembre, se envió una segunda ronda de cartas el 31 de diciembre. Los registros públicos no identifican el método de acceso inicial, la vulnerabilidad explotada ni al responsable del ataque.

Los principales campos afectados, que variaban según la persona, eran nombres completos, direcciones, fechas de nacimiento, números de la Seguridad Social, números de licencia de conducir o números de tarjetas de identificación para personas sin licencia de conducir. El modelo de notificación para empleados también incluía información biométrica. El registro no da por hecho que todos los campos se vieran afectados en el caso de cada destinatario; la notificación individual define el alcance para cada persona.

Un SSN, combinado con una fecha de nacimiento y un número de identificación oficial, puede aumentar el riesgo de fraude mediante la apertura de nuevas cuentas, suplantación de identidad o mensajes de phishing convincentes. En el modelo oficial, «información biométrica» aparece como una categoría amplia.

Los campos de pacientes que podrían haberse visto afectados eran números de historia clínica, diagnósticos y códigos de diagnóstico, centros donde se recibió atención, tipos de procedimientos, nombres de proveedores de atención sanitaria, costos de los tratamientos y fechas de atención. También se enumeraban datos del seguro de salud, números de suscriptor o afiliado y números de cuenta del paciente. Estos campos pueden hacer más convincentes las estafas relacionadas con la atención sanitaria, la facturación y las prestaciones.

Si ha recibido una notificación, puede revisar los documentos de explicación de beneficios, la actividad del portal del paciente, los servicios que no reconozca, los intentos inesperados de cobro y los mensajes del proveedor de atención sanitaria. Una comunicación no es fiable por el mero hecho de incluir un diagnóstico, una fecha de atención o el nombre de un proveedor reales. Verifíquela por separado mediante un número de teléfono conocido del proveedor o el portal habitual del paciente.

La cifra de 394 752 es el total nacional más reciente que consta en el registro modificado de la Fiscalía General de Maine. La cifra anterior de 357 000 y la de 292 913 del HHS corresponden a revisiones y alcances de notificación completados en distintos momentos; no deben sumarse.

La carta oficial de Maine indicaba en enero de 2025 que seguían en curso los trabajos para identificar a las personas afectadas, y la comunicación modificada posterior incrementó esa cifra. Los subtotales de residentes de cada estado no se suman al total nacional, para evitar contar a las mismas personas más de una vez.

Excelsior aplicó medidas de contención en la red, cambió las credenciales e informó de que había implementado nuevas herramientas de seguridad, rediseñado sistemas clave y procesos de negocio, y reforzado la concienciación en seguridad y las alertas. Denunció el incidente ante el FBI. El modelo de notificación de Maine ofrecía a las personas afectadas 12 meses gratuitos de supervisión del crédito y servicios de recuperación tras el robo de identidad a través de CyberScout.

Si ha recibido una notificación, confirme en su propia carta el plazo de inscripción y considere congelar su crédito, activar una alerta de fraude y vigilar la apertura de nuevas cuentas si se vio afectado un SSN o un número de identificación. En cuanto a los datos de salud, revise los resúmenes de beneficios y las cuentas del paciente. No comparta contraseñas, su SSN completo ni códigos de un solo uso, ni realice pagos en respuesta a un mensaje inesperado que utilice el nombre de Excelsior. Si recibe un mensaje sospechoso o detecta un evento sospechoso en una cuenta, verifíquelo a través del canal de contacto oficial vigente de la organización, sin utilizar los enlaces del mensaje.