Brecha de datos de Health Payment Systems de 2025

El aviso oficial de seguridad de HPS detalla la cronología del incidente, el entorno afectado, los posibles campos de datos implicados y la respuesta de la empresa. Según el aviso, una persona desconocida y no autorizada podría haber accedido a determinada información de pacientes o haberla obtenido.

El registro de HHS OCR identifica a la misma organización como socio comercial, señala un total de 9 380 personas y clasifica el suceso como un incidente de piratería informática/IT relacionado con el correo electrónico. Esa cifra corresponde al total de personas afectadas; no permite determinar qué campos de datos estaban presentes en el caso de cada persona.

HPS tuvo conocimiento de actividad sospechosa relacionada con algunas cuentas de correo electrónico de empleados alrededor del 27 de junio de 2025 y tomó medidas para protegerlas. A continuación, la empresa investigó la naturaleza y el alcance del incidente con especialistas externos en ciberseguridad.

La investigación determinó que una persona desconocida accedió a determinados correos electrónicos aproximadamente entre el 24 y el 27 de junio. Por tanto, la fecha del catálogo representa el inicio aproximado del periodo de acceso; el aviso no revela una hora exacta, el método utilizado ni la identidad de la persona responsable.

El aviso oficial enumera nombres, direcciones, fechas de nacimiento, identificadores, identificadores de suscripción e identificadores personales de los suscriptores. En el caso de algunas personas, la información también podría haber incluido números del Seguro Social, información médica y datos del seguro médico.

Los campos de datos variaban según la persona. Aunque el incidente afectó a cuentas de correo electrónico de empleados, el aviso no enumera por separado las direcciones de correo electrónico ni las contraseñas de las cuentas de las personas afectadas entre los campos expuestos, por lo que no se añaden esas categorías.

El nombre, la dirección, la fecha de nacimiento y el número del Seguro Social pueden combinarse para facilitar la suplantación de identidad, la apertura fraudulenta de cuentas o el fraude fiscal y crediticio. Los números de identificación y de suscriptor también pueden utilizarse para dar credibilidad a mensajes dirigidos a personas concretas.

La información médica y del seguro médico puede utilizarse indebidamente en reclamaciones por servicios no prestados, fraudes de seguros o mensajes que suplanten a una organización sanitaria. Que un dato de suscriptor o de salud sea correcto no demuestra que quien llama o envía un mensaje sea legítimo.

La empresa afirma que protegió las cuentas correspondientes, desplegó una herramienta avanzada de protección contra amenazas y supervisión, revisó las políticas de seguridad existentes y aplicó medidas adicionales. También notificó el incidente a las autoridades policiales y a los organismos reguladores pertinentes, conforme a sus obligaciones.

HPS indicó que enviaría avisos por correo postal a las personas cuya dirección pudiera identificar y que ofrecería servicios gratuitos de vigilancia del crédito y protección frente a la suplantación de identidad. Las condiciones de acceso a estos servicios y las fechas de inscripción deben consultarse en el aviso recibido directamente.

Si recibe un aviso, revise la actividad de sus cuentas financieras, sus informes de crédito y los documentos de explicación de beneficios de su seguro médico para detectar cuentas, transacciones o servicios que no reconozca. Notifique cualquier registro sospechoso al banco, plan de salud o proveedor correspondiente mediante canales verificados de forma independiente.

No facilite su número del Seguro Social, información del seguro, contraseñas ni códigos de verificación en respuesta a una llamada o un mensaje inesperados. Si le han informado de que su número del Seguro Social estaba entre los datos afectados, también puede considerar la posibilidad de solicitar un bloqueo gratuito de su expediente de crédito o una alerta de fraude.