Brecha de datos de Heart Care Centers of Illinois en 2024

La fuente principal es el aviso del incidente que HCCI publicó en julio de 2026 en su propio dominio. En él se indican expresamente la fecha del descubrimiento, el período de acceso a la cuenta de correo electrónico, la fecha de finalización de la revisión, los posibles tipos de datos implicados, el inicio del envío de cartas de notificación el 10 de julio y la línea de asistencia específica, 888-616-9388.

El comunicado de la organización distribuido a través de Business Wire confirma que el incidente se anunció públicamente. El resumen de fuente pública sobre la filtración de datos compara el aviso con la documentación presentada públicamente y recoge la misma cronología y las mismas categorías de datos. Las cifras de personas, los tipos de datos y las afirmaciones sobre los responsables que no se han verificado no se consideran parte del alcance público del incidente.

Al examinar un intento de phishing fallido el 15 de enero de 2026, HCCI encontró actividad sospechosa anterior vinculada a la cuenta de un empleado. Especialistas externos hallaron pruebas de que un ataque de phishing previo había tenido éxito y había permitido acceder a esa cuenta desde el 22 de agosto de 2024 hasta el 6 de noviembre de 2024.

El aviso público no describe el mensaje de phishing, cómo se persuadió al empleado, el estado de la autenticación multifactor ni la identidad del responsable. El incidente está vinculado a la cuenta de correo electrónico de un solo empleado; las fuentes no confirman que se comprometieran otros sistemas, que se exigiera un rescate ni que la información se difundiera públicamente.

Los posibles datos personales implicados eran nombres, direcciones postales, números de la Seguridad Social, fechas de nacimiento, números de licencia de conducir o de identificación estatal, números de pasaporte, números de teléfono y números de fax. El aviso no afirma que todos esos datos estuvieran implicados para cada persona; el alcance real depende de los datos enumerados en la carta de cada destinatario.

La combinación de un SSN, una fecha de nacimiento y un documento de identificación oficial puede aumentar el riesgo de fraude mediante la apertura de nuevas cuentas, suplantación de identidad y fraude fiscal. Un número de teléfono, una dirección o un número de fax no constituyen por sí solos un dato secreto de autenticación, pero pueden ayudar a un atacante a crear un mensaje convincente que aparente proceder de una institución.

Los posibles datos financieros implicados eran información de tarjetas de pago y números de cuentas financieras. Los datos de salud podrían haber incluido detalles sobre tratamientos, afecciones y diagnósticos, información sobre recetas, información del seguro de salud y datos de los proveedores de atención médica. El aviso no confirma que estuvieran implicados un PIN bancario, un código de seguridad de tarjeta, una contraseña de banca en línea ni un diagnóstico concreto para cada persona.

Estas categorías de datos pueden aportar contexto para solicitudes falsas de pago o reembolso, la suplantación de proveedores de atención médica y mensajes financieros dirigidos a personas concretas. Aunque un mensaje incluya datos reales de un médico, una institución o una cuenta, evite abrir el enlace que contiene. Acceda por su cuenta al portal del paciente y a los sitios de la aseguradora y de la entidad financiera a través de sus canales oficiales.

HCCI no publicó un total nacional ni una cifra precisa de personas afectadas en un estado. Esto evita la conclusión errónea de que «nadie se vio afectado» y refleja que sí se ha confirmado la existencia de personas a las que se debía notificar.

La organización colaboró con especialistas forenses externos para investigar el incidente y tomar medidas correctivas, revisó sus políticas y medidas de protección existentes y comenzó a enviar cartas a las personas potencialmente afectadas el 10 de julio de 2026. Los destinatarios que cumplían los requisitos recibieron servicios gratuitos de monitoreo crediticio y restauración de identidad a través de Epiq, con una fecha límite de inscripción del 31 de octubre de 2026.

Guíese por la lista de datos que figura en su propia carta. Si estuvieron implicados un SSN o un número de identificación, considere congelar su expediente crediticio en las tres agencias de información crediticia y activar una alerta de fraude; si se trataba de información financiera, vigile las transacciones, los nuevos beneficiarios y los cambios en los datos de contacto. Informe de inmediato sobre cualquier transacción o registro que no reconozca a través de un canal oficial.

Si sus datos de salud o de seguro estaban presentes, revise los documentos de explicación de beneficios, los portales del paciente y los registros de proveedores que no reconozca. En llamadas inesperadas en las que se utilice el nombre de HCCI o Epiq, no revele ninguna contraseña, su SSN completo, el código de seguridad de su tarjeta ni un código de un solo uso. Acceda por su cuenta al sitio oficial de HCCI o llame al 888-616-9388 para verificar la autenticidad de la llamada. Si recibe un mensaje sospechoso o detecta actividad sospechosa en una cuenta, verifique su autenticidad a través del canal de contacto oficial vigente de la organización, sin utilizar los enlaces del mensaje.