Filtración de datos de Harbin Clinic / NRS de 2024

La notificación oficial a los consumidores relativa a Harbin Clinic describe la función de NRS, el período de acceso, la copia de archivos, los posibles campos de datos involucrados y la respuesta al incidente. Señala que Harbin recurría a NRS para gestionar cuentas en mora, así como asuntos de quiebra, demandas judiciales y sucesiones de pacientes.

La Oficina de Derechos Civiles del Departamento de Salud y Servicios Humanos de Estados Unidos registra a Harbin Clinic en un incidente de intrusión informática o de tecnología de la información que involucró un servidor de red y a 176 149 personas. La declaración presentada ante el organismo regulador de Maine indica que se notificó a 210 140 personas en todo el país, por lo que los dos totales no se consideran mediciones duplicadas de un mismo ámbito.

NRS detectó actividad sospechosa en sus sistemas de tecnología de la información en julio de 2024, tras una interrupción de la red. Una investigación forense determinó que el acceso no autorizado comenzó el 5 de julio y continuó hasta el 11 de julio, período durante el cual se copiaron determinados archivos y carpetas.

NRS siguió revisando los archivos y comunicó a Harbin Clinic en febrero de 2025 que los sistemas afectados podrían haber contenido información de pacientes. Harbin recibió una lista de personas afectadas en marzo de 2025 y comenzó a enviar notificaciones por correo postal el 16 de mayo de 2025.

Los campos variaban según la persona y podrían haber incluido nombres, direcciones, números de la Seguridad Social, fechas de nacimiento, información de cuentas financieras e información médica. La documentación de NRS podría haber correspondido a pacientes cuyas deudas se habían remitido para su cobro, garantes de cuentas y personas involucradas en determinados asuntos legales.

No debe suponerse que la lista completa de categorías se aplica a las 210 140 personas. No se incluyen direcciones de correo electrónico, contraseñas ni números de tarjetas de pago porque las fuentes revisadas no confirman esos campos.

La declaración presentada ante la Fiscalía General de Maine identifica a 210 140 personas en todo el país como afectadas por el incidente. Es el total confirmado más amplio asociado a las notificaciones sobre información personal enviadas en distintos estados.

La cifra de 176 149 de HHS OCR corresponde a las personas declaradas conforme a las normas federales de privacidad de la información sanitaria. Como los dos registros oficiales abarcan ámbitos regulatorios distintos, la diferencia no debe interpretarse como un recuento de archivos ni de campos de datos individuales.

NRS informó de que protegió sus sistemas, notificó a las autoridades policiales, incorporó medidas de ciberseguridad y revisó las políticas existentes. Harbin Clinic bloqueó el acceso de NRS a sus sistemas hasta que se eliminó la amenaza y revisó su propia red en busca de indicadores de compromiso.

La notificación indicaba que, en el momento de su emisión, no había pruebas de robo de identidad ni de fraude relacionados con el incidente. A los destinatarios que cumplían los requisitos se les ofrecieron 24 meses de monitoreo de identidad; ninguna de estas dos afirmaciones garantiza que no pueda producirse un uso indebido más adelante.

Si ha recibido una notificación, revise periódicamente sus cuentas bancarias y de crédito para detectar transacciones que no reconozca o cuentas nuevas, consulte sus informes de crédito y considere solicitar un bloqueo gratuito de su historial crediticio o una alerta de fraude cuando corresponda. Verifique directamente con el proveedor de atención médica cualquier cambio inesperado en sus registros médicos o facturas.

No comparta su número de la Seguridad Social, datos de una cuenta, contraseñas ni códigos de verificación en respuesta a una llamada o un mensaje inesperados de alguien que afirme representar a Harbin Clinic o NRS. Antes de abrir un enlace o enviar documentos, verifique por su cuenta los datos de contacto utilizando la notificación oficial.