Filtración de datos de ParkTree Community Health Center en 2024

La fuente principal es la carta dirigida a los consumidores del 21 de agosto de 2024, incluida en el expediente SB24-590522 de la Fiscalía General de California. Confirma la exposición del 7 de febrero, los campos afectados, las mejoras de seguridad, la línea de asistencia y la exclusión de los números de la Seguridad Social (SSN) y de los datos de los permisos de conducir. La firma identifica al proveedor como Pomona Community Health Center, que opera bajo el nombre comercial (dba) ParkTree Community Health Center.

La segunda fuente es la entrada oficial de HHS/OCR, fechada el 21 de agosto de 2024, que indica 40 964 personas, proveedor de atención médica, incidente de ataque informático/IT y servidor de red. Fuente pública sobre la filtración de datos enlaza al documento presentado en California, pero el titular de esa fuente secundaria sobre los SSN y su relato que sitúa el incidente el 1 de febrero contradicen la carta oficial; esta ficha da prioridad al documento regulatorio primario.

Según la carta de notificación individual de ParkTree, los datos personales de salud podrían haber quedado expuestos a un tercero desconocido el 7 de febrero. El proveedor afirmó que notificó el incidente a las autoridades competentes, tomó medidas para reforzar la seguridad de la red y reducir el riesgo de que se repitiera, y revisa y actualiza sus políticas y procedimientos de seguridad según sea necesario.

La carta pública no explica cómo obtuvo acceso inicialmente la persona no autorizada, qué cuenta o vulnerabilidad utilizó, cuánto duró el acceso ni si se confirmó la descarga de los datos. Los recuentos de personas, los campos de datos y las afirmaciones sobre los responsables del ataque que no se hayan verificado no se consideran parte del alcance público del incidente.

Los campos principales, que variaban según la persona, eran nombres y apellidos, fechas de nacimiento, información de contacto y género. La carta utiliza «información de contacto» como una categoría amplia; esta ficha no presupone que se vieran afectados campos específicos de dirección, teléfono o correo electrónico de todos los destinatarios. La notificación de cada persona define el alcance que le corresponde.

La carta oficial señala expresamente que el incidente no afectó a los números de la Seguridad Social ni a los de los permisos de conducir. Por tanto, el titular de una página web secundaria que afirma que hubo una exposición de SSN no se utiliza como categoría de datos. Esta ficha excluye los SSN y los datos de identificación oficial; el material genérico sobre protección crediticia adjunto a la carta no redefine el alcance real del incidente.

Los campos de salud eran los números de identificación del plan de salud, los números de historia clínica y detalles clínicos como diagnósticos, medicamentos y notas médicas. Estos datos pueden revelar información sobre tratamientos y seguros, y hacer más convincentes los mensajes que utilicen el nombre de un paciente o de un proveedor de atención médica. Esta ficha no presupone que todas las personas tuvieran datos afectados de cada subcategoría clínica.

Si recibió una notificación, puede revisar los documentos de explicación de beneficios, la actividad del portal del paciente, los servicios y medicamentos que no reconozca y las comunicaciones del plan de salud. Un mensaje que cite un diagnóstico, un medicamento o una nota médica reales no es necesariamente legítimo. Verifíquelo mediante un número conocido de ParkTree o un portal del paciente al que acceda directamente, y no a través del mensaje.

La cifra de 40 964 corresponde a la población afectada notificada a HHS/OCR y es un total público verificado que puede utilizarse en lugar de una cifra de cero o una estimación sin respaldo. El número de personas afectadas o de registros publicado por la fuente oficial representa el alcance declarado del incidente. No significa que todas las categorías de datos divulgadas correspondieran a todas las personas.

Los recuentos de residentes incluidos en las notificaciones estatales son subconjuntos de la población afectada a escala nacional y no deben sumarse de nuevo. ParkTree y Pomona Community Health Center figuran en una sola ficha porque la notificación documenta la relación entre su razón social y su nombre comercial (dba). La fecha del incidente es el 7 de febrero, según la carta oficial, y no el 1 de febrero indicado en un resumen secundario.

ParkTree afirmó que notificó el incidente de seguridad a las autoridades competentes, reforzó la seguridad de la red y actualizó sus políticas y procedimientos. La carta del 21 de agosto de 2024 indica el número 1-877-202-5507 para consultas y un horario de atención de lunes a viernes, de 9:00 a. m. a 9:00 p. m., hora del este de Estados Unidos; si recibió la notificación, confirme la disponibilidad actual a través de un canal oficial del proveedor.

Si se vio afectado, puede supervisar la actividad de su plan de salud y de su cuenta de paciente en función de los campos indicados en su propia carta, informar de servicios que no reconozca y verificar de forma independiente los mensajes inesperados. No revele su contraseña, el número de su plan de salud ni un código de un solo uso, ni realice pagos, a través de comunicaciones que utilicen el nombre de ParkTree, del plan o del médico; utilice en su lugar un sitio web o un número de teléfono conocido.