Filtración de datos de Palomar Health Medical Group de 2024

La principal evidencia es el PDF del «Aviso sobre un incidente de datos» de PHMG, fechado el 3 de julio de 2024 y alojado en su propio dominio. Publicado mientras la investigación seguía en curso, identifica el periodo de acceso no autorizado, indica que los archivos podrían haberse copiado y señala que algunos podrían haber quedado irrecuperables. La organización también declaró claramente que, en esa fase, aún no podía identificar a las personas concretas ni la información afectada.

La segunda fuente es la notificación emitida de nuevo y presentada ante la Fiscalía General de California el 15 de octubre de 2025. Confirma que la revisión de los datos concluyó el 4 de septiembre de 2025 y que se determinó que podría haberse visto afectada información de pacientes actuales y anteriores. La tercera fuente es la entrada de HHS/OCR, que aporta la cifra federal de 501 personas, el tipo de incidente y la ubicación de los datos en un servidor de red.

La fecha del incidente se basa en la primera actividad técnica que puede verificarse mediante fuentes públicas. Cuando se publicó el primer aviso en línea, el 3 de julio, la revisión de los archivos y de las personas afectadas seguía en curso, por lo que ese anuncio no incluía una cifra definitiva de personas afectadas.

PHMG completó su revisión exhaustiva de los archivos el 4 de septiembre de 2025. El 15 de octubre volvió a emitir el aviso para llegar a las personas que quizá no lo hubieran recibido antes y reforzar el conocimiento del incidente de 2024. La fecha de presentación de la entrada de HHS/OCR, el 8 de mayo de 2026, no indica un nuevo ciberataque; tanto la entrada federal como los documentos de la organización remiten al mismo periodo de acceso de abril a mayo de 2024.

El aviso actualizado de la organización indica que la combinación de datos varía según la persona. Las categorías de datos de identidad y financieros enumeradas incluyen nombre, dirección, fecha de nacimiento, número de la Seguridad Social, licencia de conducir, documento de identidad estatal, identificación militar, pasaporte y número de registro de extranjeros de Estados Unidos. La información de cuentas financieras, tarjetas de pago y cuentas de ahorro para gastos médicos también figura entre los datos que podrían haberse visto afectados.

Las categorías de información de salud y de cuentas incluyen antecedentes médicos, información de diagnóstico y tratamiento, datos biométricos, número de historia clínica, identificación de Medicare o Medicaid, número de cuenta del paciente e información del seguro médico. También se enumeran combinaciones de dirección de correo electrónico y contraseña, así como de nombre de usuario y contraseña. Este catálogo no indica que todos los campos correspondieran a las 501 personas; la carta de notificación individual es la mejor fuente para conocer las categorías pertinentes para cada destinatario.

501 es el número de personas afectadas que figura para Palomar Health Medical Group en la tabla federal pública de filtraciones de HHS/OCR. La cifra de personas afectadas o de registros publicada por la fuente oficial representa el alcance notificado del incidente. No significa que todas las categorías de datos divulgadas correspondieran a cada persona. Sin embargo, la advertencia general que PHMG dirigió a todos sus pacientes en julio de 2024 se emitió antes de que finalizara la revisión individual, por lo que 501 no debe interpretarse como el número total de personas que vieron el aviso general ni como el total de pacientes de la organización.

Estas cifras responden a preguntas distintas y no deben usarse indistintamente.

Las combinaciones de correo electrónico y contraseña pueden facilitar ataques de reutilización automatizada de credenciales cuando la misma contraseña se ha utilizado en otros servicios. Las contraseñas utilizadas para PHMG o los portales de salud relacionados deben ser únicas, y se deben cambiar primero las credenciales reutilizadas en cuentas de correo electrónico y financieras. Se debe activar la autenticación multifactor. Para acceder a sus cuentas, utilice direcciones conocidas en lugar de enlaces incluidos en mensajes inesperados sobre restablecimiento de contraseñas, tarjetas de pago o cuentas de salud.

La combinación de información de la Seguridad Social, documentos de identidad oficiales y cuentas financieras puede facilitar el fraude mediante la apertura de nuevas cuentas, mientras que los datos de seguros, cuentas de pacientes, diagnósticos y tratamientos pueden permitir la suplantación de identidad médica. Conviene revisar los informes crediticios, los movimientos bancarios y de tarjetas, y los documentos de explicación de beneficios del seguro. Si no reconoce un proveedor, servicio, reclamación o factura, notifíquelo a la aseguradora y a la organización sanitaria a través de sus canales oficiales.

PHMG afirmó que investigó el incidente, tomó medidas para proteger el entorno de red, notificó a las autoridades policiales y a los organismos reguladores pertinentes, y reforzó los protocolos de seguridad existentes. Tanto sus declaraciones públicas iniciales como las actualizadas indican que no había observado indicios de uso indebido ni de intentos de uso indebido relacionados con el incidente. Esa declaración no garantiza que no pueda producirse un uso indebido más adelante.

Quienes reciban una carta individual de PHMG deben basarse en ella para conocer las categorías de sus datos afectadas y las opciones de protección que ofrezca la organización. Las personas que no hayan recibido una carta y aún tengan preguntas deben utilizar el canal de contacto oficial vigente de PHMG. Una página de LeakData sobre un incidente no significa por sí sola que quien la visita forme parte de la población afectada; documenta el incidente verificado y las precauciones prácticas. Los indicios de uso indebido de la identidad o de los datos médicos deben conservarse y notificarse sin demora a las instituciones pertinentes.