Filtración de datos de Gateway Community Services de 2025

El registro de HHS OCR vincula en un mismo incidente a Gateway Community Services, un proveedor de atención sanitaria de Florida, el total de 34 498 personas, la fecha de notificación del 29 de mayo de 2025 y un servidor de red. El sitio web oficial actual de la organización confirma la identidad de Gateway y los servicios que presta en Jacksonville.

La información publicada por fuentes independientes especializadas en ciberseguridad del sector sanitario y un resumen del incidente basado en documentación presentada ante las autoridades estatales corroboran el acceso a la red del 11 de abril, la extracción de datos, la finalización de la revisión del alcance el 16 de mayo y los campos de datos indicados. Las cartas de notificación no señalan cuándo se detectó la intrusión, por lo que no se añade una fecha exacta de detección.

Personas no autorizadas accedieron al entorno de red de Gateway el 11 de abril. Cuando se detectó el incidente, la organización protegió su red y contrató a especialistas externos en ciberseguridad para determinar la naturaleza y el alcance de la actividad no autorizada.

La investigación concluyó que se habían extraído ciertos datos de la red. Las fuentes públicas no revelan cuánto tiempo duró el acceso, el método de acceso inicial, la vulnerabilidad técnica utilizada ni la identidad del responsable; el 11 de abril figura únicamente como la fecha confirmada del acceso.

Según la persona, la información potencialmente afectada incluía nombres y apellidos, direcciones, fechas de nacimiento, números del Seguro Social y números de licencia de conducir o de documentos de identidad estatales. La información publicada indica expresamente que los campos de datos señalados no eran los mismos para todas las personas.

Los datos de salud podrían haber incluido detalles de tratamientos médicos e información del seguro de salud. No se añaden direcciones de correo electrónico, contraseñas, cuentas financieras, tarjetas de pago ni información sobre recetas médicas, ya que la información pública sobre el incidente no confirma que estos datos estuvieran afectados.

Los números de identificación, combinados con información sobre tratamientos y seguros, pueden facilitar el robo de identidad, el fraude sanitario o el envío de mensajes dirigidos y convincentes. Los números del Seguro Social y de identificación oficial no se pueden cambiar sin más, por lo que puede ser conveniente mantener la vigilancia durante un periodo prolongado.

Una persona que conozca un dato real sobre un tratamiento o un seguro puede elaborar una solicitud más convincente haciéndose pasar por un representante de Gateway, una clínica, un hospital o una aseguradora. Disponer de esos datos no acredita que actúe en nombre de esas entidades, y las solicitudes inesperadas deben verificarse por un canal independiente.

Gateway protegió su red, contrató a especialistas externos en ciberseguridad y llevó a cabo una revisión exhaustiva para identificar a las personas afectadas y los tipos de información implicados. Ese trabajo concluyó el 16 de mayo de 2025 y se enviaron notificaciones por escrito a las personas afectadas.

Un resumen independiente del incidente informa de que se ofrecieron 12 meses de seguimiento crediticio y protección contra el robo de identidad a las personas que cumplían los requisitos. Las fuentes públicas no describen el incidente como un ataque de ransomware, no identifican a un grupo concreto ni afirman que todos los campos de datos señalados correspondieran a todas las personas.

Quienes hayan recibido una notificación deben revisar periódicamente sus informes crediticios, cuentas financieras y desgloses de prestaciones del seguro de salud para detectar cuentas, transacciones, servicios o reclamaciones que no reconozcan. Cualquier actividad sospechosa debe comunicarse a la entidad financiera, al proveedor de atención sanitaria y a la aseguradora correspondientes, así como a las autoridades cuando proceda.

No comparta su número del Seguro Social, información de salud, contraseñas ni códigos de verificación de un solo uso en respuesta a un correo electrónico, mensaje o llamada inesperados. Si una solicitud afirma proceder de Gateway o de otra organización sanitaria, verifíquela mediante los datos de contacto del sitio web oficial, en lugar de utilizar los enlaces o números incluidos en el mensaje.