Brecha de datos de Nacogdoches Memorial Hospital de 2026

Nacogdoches Memorial Hospital declaró que un pirata informático accedió a su red informática y a sus sistemas de información. La investigación de la organización determinó que el atacante pudo haber visto u obtenido archivos con información de pacientes durante las aproximadamente dos semanas en las que tuvo acceso. El informe de gran alcance presentado al HHS confirma que el suceso quedó registrado ante el organismo regulador como una brecha de datos personales de salud.

HHS OCR clasifica el suceso como un incidente de piratería informática/TI, identifica la ubicación de la información como un servidor de red y el tipo de entidad como un proveedor de servicios de salud. HIPAA Journal revisó el aviso del hospital y el registro federal, y corroboró el inicio del acceso, la fecha de detección, la población afectada y los campos de datos. Las fuentes no aportan detalles confirmados sobre la identidad del atacante ni sobre el método de acceso inicial.

Según el análisis forense, el atacante accedió por primera vez a la red del hospital el 15 de enero de 2026. Nacogdoches Memorial Hospital detectó el suceso el 31 de enero e inició su respuesta. La fecha del incidente se basa en la actividad técnica más antigua que puede verificarse a partir de fuentes públicas.

Tras identificar los archivos y las personas afectadas, el hospital comenzó a enviar cartas de notificación por correo postal el 31 de marzo de 2026. La entrada del HHS tiene como fecha de presentación el 30 de marzo y actualmente indica 2 507 073 personas. La cifra inicial de unas 257 000 personas que apareció en las noticias se amplió posteriormente, por lo que ese total anterior no se suma al valor actual.

Los campos afectados incluyen nombres, direcciones postales, números de teléfono y direcciones de correo electrónico. Los números de la Seguridad Social y las fechas de nacimiento también figuraban entre los identificadores sensibles divulgados. Esta combinación supone un alto riesgo de phishing dirigido, fraude en la recuperación de cuentas, solicitudes de crédito fraudulentas y uso indebido de la identidad con fines fiscales.

En el caso de algunas personas, también había fotografías del rostro completo. El hospital no afirmó que todos los campos estuvieran presentes para las 2 507 073 personas; la combinación varía según la persona. Los datos de licencias de conducir, las tarjetas de pago, las cuentas bancarias y las contraseñas no figuran en la lista publicada de datos confirmados como afectados y, por tanto, no se añaden a este registro original.

Entre los tipos de datos afectados figuraban los números de historia clínica y los números de cuenta de los pacientes. Los números de beneficiario de los planes de salud también formaban parte del alcance divulgado. Combinados con los datos de identidad, estos campos pueden facilitar reclamaciones fraudulentas de prestaciones de salud, suplantación de identidad médica y estafas dirigidas basadas en una cuenta del hospital.

Las fuentes no confirman que el incidente, en su conjunto, incluyera diagnósticos, notas detalladas de tratamiento, recetas, resultados de laboratorio ni información de tarjetas de pago. La expresión «información de salud protegida» no se utiliza para inventar categorías que no figuren en el aviso.

La lista de investigaciones abiertas de HHS OCR muestra una entrada de Nacogdoches Memorial Hospital con 2 507 073 personas. Esta cifra es más reciente que el dato provisional de unas 250 000 o 257 073 personas que apareció en las primeras noticias. La cifra de personas o registros afectados publicada por la fuente oficial representa el alcance notificado del incidente. No significa que todas las categorías de datos divulgadas correspondieran a todas las personas.

Nacogdoches Memorial es un hospital de 226 camas, pero el número de camas, el volumen anual de pacientes y la población afectada son medidas distintas. LeakData no convierte el tamaño operativo en una cifra de víctimas ni inventa subtotales de grupos de pacientes que no se hayan publicado. La entrada presenta únicamente el número de personas afectadas notificado al organismo regulador.

El hospital ofreció a las personas afectadas servicios gratuitos de monitoreo de crédito y protección contra el robo de identidad. Quienes reciban el aviso deben comprobar el plazo de inscripción, revisar sus informes de crédito y considerar un bloqueo de seguridad de su expediente crediticio si su número de la Seguridad Social estuvo implicado. Los mensajes que afirmen representar al hospital o al plan de salud y soliciten más información de identidad deben verificarse a través de un canal oficial independiente.

Si aparecen servicios, proveedores, cuentas de pacientes o usos del número de beneficiario que no se reconozcan en los estados de cuenta médicos o del seguro, se debe informar a la oficina de privacidad del hospital y al plan de salud. Las personas cuya fotografía del rostro estuviera implicada deben extremar la precaución ante las solicitudes de verificación biométrica.