IKRON Corporation 2026 Filtración de datos

En febrero de 2026, supo que un tercero había accedido a determinados servidores y archivos y había extraído información administrativa o laboral relacionada con empleados actuales y antiguos. Hacia el 4 de marzo de 2026, IKRON supo que otra parte había accedido a un entorno de historias clínicas electrónicas y había extraído información de clientes relacionada con su salud y con los servicios de apoyo para el empleo.

El registro de la Oficina de Derechos Civiles del HHS recoge 11 845 personas afectadas y clasifica el suceso como un incidente de intrusión informática/IT que involucró una historia clínica electrónica y un servidor de red. Se trata de una cifra de personas afectadas registrada por el organismo regulador, no de un recuento de registros importados, archivos, pacientes o empleados. La organización solo indicó que tuvo conocimiento de la primera oleada de acceso en febrero de 2026, sin precisar el día.

La información variaba según la relación de cada persona con IKRON. Entre los posibles datos figuraban el nombre, la dirección, la fecha de nacimiento, el número de Seguro Social y, en algunos casos, el número del permiso de conducir. Los datos relacionados con la atención a pacientes también podrían haber incluido el número de historia clínica, información del seguro médico, diagnósticos, antecedentes médicos, registros de admisión y evaluación, planes de tratamiento, notas clínicas, citas y facturación. Los datos laborales o relacionados con los servicios de apoyo para el empleo también podrían haber incluido registros de participación y de servicios prestados, información de admisión, notas o comunicaciones, historial educativo y laboral y, en el caso de algunas personas, información limitada sobre medicación o información general sobre discapacidad vinculada a un plan de servicios. No debe suponerse que todos los datos mencionados estuvieran presentes en el caso de cada persona.

IKRON afirmó que notificó los incidentes a las autoridades policiales, aisló los sistemas afectados, deshabilitó las cuentas comprometidas, restableció las contraseñas y contrató a especialistas externos en análisis forense informático. También anunció 12 meses de seguimiento crediticio para las personas identificadas como afectadas. Las personas deben actuar en función de los datos y las condiciones que figuren en sus propias notificaciones. El incidente por sí solo no demuestra que una persona fuera paciente, empleado o participante en un programa de apoyo para el empleo, ni que se vieran afectados un diagnóstico, una discapacidad o un registro de tratamiento específicos.