Brecha de seguridad de GrayRobinson de 2025

La fuente principal es el propio aviso de GrayRobinson sobre el incidente. El bufete indica expresamente el período de acceso, la fecha de detección, las medidas de respuesta, el resultado de la revisión de los archivos y los campos de datos afectados, que variaban de una persona a otra. El aviso establece que el incidente fue más allá de un tráfico sospechoso: señala que la persona o las personas que accedieron sin autorización podrían haber consultado o extraído los archivos afectados.

El informe actual del fiscal general de Indiana sobre las brechas de seguridad registradas en lo que va del año incluye a GrayRobinson P.A., sitúa el inicio de la brecha el 5 de marzo de 2025 y la fecha de notificación el 24 de abril de 2026, y recoge 234 residentes de Indiana y un total de 80 383 personas afectadas. Por separado, el portal de la Oficina de Derechos Civiles del HHS incluye al bufete como asociado comercial, informa de 54 131 personas y clasifica el suceso como un incidente de intrusión informática/IT que afectó a un servidor de red. Por tanto, el aviso de la organización, el regulador estatal y el registro federal del ámbito sanitario aportan confirmaciones complementarias.

El comunicado oficial de GrayRobinson señala que el acceso no autorizado a su red se produjo entre el 5 y el 24 de marzo de 2025. El bufete detectó el incidente alrededor del 24 de marzo. Su investigación determinó que algunos archivos podrían haber sido consultados o extraídos durante ese período, pero el aviso público no identifica la vulnerabilidad explotada, el método de acceso inicial, la parte responsable ni si posteriormente se publicó algún archivo.

Las fuentes públicas no describen el suceso como un ataque de ransomware ni lo atribuyen a un grupo de ciberatacantes identificado por su nombre. La clasificación del HHS utiliza los términos incidente de intrusión informática/IT y servidor de red. En consecuencia, esta ficha describe una intrusión confirmada en la red y la posible consulta o extracción de archivos, sin añadir técnicas no verificadas, exigencias de rescate ni afirmaciones sobre una publicación en la web oscura.

GrayRobinson afirma que la información variaba según la persona y podría haber incluido uno o varios de los siguientes datos: nombre y apellido, fecha de nacimiento, número de Seguro Social, número de licencia de conducir, identificación estatal o gubernamental, información de cuentas financieras, información médica e información del seguro de salud. El aviso no afirma que los archivos de todas las personas afectadas contuvieran todas estas categorías.

Un número de Seguro Social combinado con una identificación gubernamental puede aumentar el riesgo de apertura fraudulenta de cuentas o de suplantación de identidad. La información de cuentas financieras puede facilitar el fraude en esas cuentas, mientras que los datos médicos y del seguro pueden permitir el uso indebido de la identidad en el ámbito médico o el envío de mensajes dirigidos muy convincentes. Dado que la notificación individual identifica los campos que corresponden a su destinatario, esa carta concreta debe prevalecer sobre la lista general.

En el informe actual disponible del fiscal general de Indiana, la cifra de 80 383 se identifica expresamente como el total de personas afectadas, mientras que 234 corresponde a los residentes de Indiana. Una versión anterior del registro de Indiana mostraba un total de 65 113, pero el informe actual eleva la cifra a 80 383. Por tanto, esta ficha utiliza el total general más reciente indicado expresamente por el regulador, en lugar de la cifra anterior.

La cifra de 54 131 del portal del HHS es el número comunicado por separado a través del programa federal de notificación de brechas de seguridad de HIPAA y es inferior en 26 252 al total de Indiana. El informe del HHS pertenece al ámbito de la regulación sanitaria, mientras que el de Indiana ofrece una columna diferenciada para el total general. Como las fuentes no explican si la diferencia se debe al alcance de la población incluida, a las obligaciones de notificación o al momento de actualización, las cifras no se suman y la del HHS no sustituye al total nacional.

El bufete afirma que protegió su red, informó del suceso a las autoridades policiales y trabajó con profesionales externos de ciberseguridad con experiencia en respuesta a incidentes. Después realizó una revisión detallada de la información potencialmente afectada. Tras concluir esa revisión el 13 de abril de 2026, GrayRobinson comenzó el 24 de abril a notificar a las personas cuya información podría haber estado en los archivos.

Un modelo de notificación indica que, a la fecha del aviso, el bufete no tenía pruebas de que la información se hubiera utilizado para cometer fraude financiero o robo de identidad, y que ofrecía un servicio gratuito de monitoreo a través de Experian IdentityWorks a los destinatarios que cumplían los requisitos. Esa declaración no garantiza que no se produzca un uso indebido en el futuro. GrayRobinson también afirma que sigue evaluando y modificando sus prácticas y controles internos, aunque el aviso público no describe los cambios técnicos.

Si recibe una notificación, revise primero la carta para comprobar qué campos de datos le corresponden y cuál es el plazo de inscripción en cualquier servicio gratuito. Si se vio afectado un número de Seguro Social u otro identificador gubernamental, revise los informes de las tres agencias de crédito y considere solicitar una alerta de fraude gratuita o una congelación de crédito gratuita. Si la carta incluye información de cuentas financieras, vigile las transacciones y los cambios en los datos de contacto.

Si su carta identifica información médica o del seguro de salud, puede revisar los documentos de explicación de beneficios y los portales de pacientes para detectar servicios, procedimientos o proveedores que no reconozca. No comparta contraseñas, datos de pago ni códigos de un solo uso en respuesta a mensajes inesperados que utilicen el nombre de GrayRobinson. La línea de atención sobre el incidente es 844-403-4596 y está disponible de lunes a viernes, de 9:00 a. m. a 6:30 p. m., hora del este; verifique el número en el aviso oficial actual del bufete antes de llamar.