Filtración de datos de Family Partnerships of Central Florida de 2025

La fuente primaria más sólida es el documento «Aviso de incidente de datos» de la organización, publicado en fpocf.org. Describe directamente las fechas de los accesos no autorizados, la copia y extracción de información, la investigación, las categorías de información afectadas, la respuesta de seguridad y la línea de asistencia específica. El propio aviso de la organización permite considerar el incidente como algo más que una alegación y aporta las pruebas principales.

Una carta dirigida a una persona afectada, fechada el 17 de julio de 2026 y conservada en el archivo de la Fiscalía General de Massachusetts, respalda la identidad de la entidad, el proceso de notificación, la declaración sobre el uso indebido de los datos y la oferta de protección durante 24 meses. Claim Depot vincula los documentos oficiales con el mismo incidente y resume las cifras de personas afectadas comunicadas para Massachusetts y Vermont. Las tres fuentes coinciden en los hechos esenciales.

Family Partnerships declaró que había recibido una alerta de que un tercero no autorizado había filtrado en internet datos pertenecientes a la organización. Una investigación con especialistas externos en análisis forense determinó que un tercero no autorizado había accedido a determinados sistemas entre el 4 de diciembre de 2025 y el 2 de enero de 2026, y había copiado o extraído información almacenada en ellos. Después, la organización revisó los documentos para identificar a las personas y los tipos de datos afectados.

Las fuentes no indican si el acceso inicial se produjo mediante phishing, una contraseña robada, un servicio expuesto o una vulnerabilidad de software. Claim Depot informa de que un grupo llamado Money Message se atribuyó la responsabilidad el 28 de enero, pero el aviso principal de la organización no confirma esa atribución. Por ello, esta reivindicación no se registra como una atribución oficial ni como la causa técnica del incidente.

La lista exacta del aviso oficial de la organización incluye nombre, fecha de nacimiento, número de Seguro Social, número de licencia de conducir o de identificación estatal, información de cuentas financieras e información personal de salud. El aviso indica que estas categorías figuraban en los archivos afectados; no afirma que todas ellas estuvieran presentes para cada persona notificada. La lista de campos de la carta individual ofrece información más específica sobre los datos de esa persona.

Las fuentes no identifican por separado direcciones postales, direcciones de correo electrónico, contraseñas, CVV de tarjetas, PIN bancarios, diagnósticos médicos, recetas, resultados de laboratorio o números de afiliación a seguros como campos confirmados. «Información de cuentas financieras» e «información personal de salud» son categorías amplias; ampliarlas con subcampos no documentados distorsionaría el riesgo. LeakData solo enumera las categorías publicadas.

Las cifras públicas de las notificaciones estatales de este incidente son de 89 personas en Massachusetts y dos en Vermont. El total combinado de 91 representa únicamente los registros respaldados por pruebas de esos dos estados, por lo que se registra como una cifra mínima. La organización tiene su sede en Florida y no ha publicado un total nacional de personas afectadas sin duplicados; sería engañoso presentar la suma de los recuentos de dos estados como el total exacto del incidente.

El número de menores, familias, empleados o colaboradores atendidos por la organización no puede sustituir al recuento de personas afectadas. Tampoco puede convertirse el volumen de datos que un actor afirma tener en una cifra de personas únicas.

Family Partnerships declaró que había protegido su entorno informático tras conocer el incidente, investigado la actividad con especialistas externos y revisado los archivos afectados. También afirmó que estaba revisando las políticas, los procedimientos y los procesos que regulan el almacenamiento de información sensible y el acceso a ella. En el momento de la notificación, informó de que no había indicios de uso indebido de la información afectada ni de intentos de uso indebido.

La carta dirigida a una persona afectada en Massachusetts indica que se ofrecieron a las personas que cumplían los requisitos 24 meses gratuitos de seguimiento crediticio en una única agencia de información crediticia, un informe crediticio, una puntuación crediticia y asistencia en caso de fraude a través de Cyberscout. Para inscribirse, es necesario utilizar el código único de la carta dentro de los 90 días siguientes a su fecha. La línea de asistencia 1-855-302-7461 está disponible de lunes a viernes, de 8 a. m. a 8 p. m., hora del este, excepto los días festivos de Estados Unidos.

Si ha recibido una notificación, compruebe primero qué datos se identifican en su aviso individual. Si se vio afectado su SSN o un documento de identificación oficial, considere solicitar la congelación gratuita de su crédito en las tres agencias de información crediticia, activar una alerta de fraude y obtener un IP PIN del IRS. En el caso de información de cuentas financieras, revise las transacciones y las instrucciones de pago que no reconozca; en el caso de información de salud, examine los resúmenes de prestaciones, los registros de los proveedores de atención médica y los servicios que no tengan explicación.

El contexto de los servicios para menores y familias puede ayudar a los delincuentes a preparar llamadas o mensajes dirigidos sobre actualizaciones de documentos, prestaciones o pagos de ayudas. Acceda por su cuenta a fpocf.org y al canal oficial indicado en el aviso, en lugar de seguir un enlace recibido. No facilite a quien le llame una contraseña, su SSN completo, un código de verificación bancaria o un código de un solo uso únicamente porque conozca un nombre real, una relación con el servicio o uno de los datos afectados.