Brecha de datos de PIH Health de 2024

PIH Health detectó el ataque que afectó a sus operaciones el 1 de diciembre de 2024 e inició una revisión con especialistas en informática forense. Alrededor del 16 de diciembre de 2025, la organización determinó que los archivos de las partes comprometidas de su red contenían información de pacientes y que el atacante podría haber accedido a ellos u obtenido una copia. Ese hallazgo y el informe del HHS permiten establecer que el incidente constituyó una brecha de datos personales.

La HHS OCR clasifica el suceso como un incidente de piratería informática/TI, identifica un servidor de red como ubicación de la información y señala que la entidad es un proveedor de servicios de salud. HIPAA Journal revisó la declaración actualizada de PIH Health, el registro del organismo regulador y la cronología del ataque, y corroboró que el alcance era de casi 2,95 millones de pacientes. Las fuentes coinciden en que el incidente afectó a datos personales e información de salud protegida, además de provocar una interrupción de los sistemas.

Los hallazgos forenses sitúan al atacante en la red de PIH Health del 14 de noviembre al 23 de diciembre de 2024. La fecha del incidente se basa en la primera actividad técnica que se puede verificar mediante fuentes públicas. El ataque detectado el 1 de diciembre interrumpió algunos sistemas informáticos y líneas telefónicas; el personal de salud recurrió a procedimientos para periodos de inactividad de los sistemas y a registros manuales para continuar prestando atención.

La revisión detallada de los archivos afectados y la elaboración de la lista de personas tardaron aproximadamente un año. Una vez identificada la totalidad de las personas afectadas en diciembre de 2025, PIH Health recopiló sus datos de contacto e inició las notificaciones. La entrada del HHS conserva el 31 de enero de 2025 como fecha de presentación original, mientras que la cifra de 2 947 264 que muestra actualmente refleja la revisión posterior del alcance.

PIH Health indicó que los tipos de información variaban según la persona. Además de nombres y direcciones postales, los archivos podían incluir números de la Seguridad Social y números de identificación fiscal. Los números de licencia de conducir también figuraban entre los campos de identidad divulgados. Esta combinación aumenta los riesgos de robo de identidad, fraude fiscal y uso indebido para abrir nuevas cuentas.

El incidente afectó a información médica y de seguros de salud. Algunos archivos también contenían datos de cuentas financieras y números de tarjetas de crédito o débito. Las fuentes no indican que todos los campos estuvieran presentes para las 2 947 264 personas; las contraseñas, el contenido de los correos electrónicos y todos los campos detallados de tratamiento que el atacante afirmó tener no se incluyen en el alcance general confirmado por la organización.

La lista de investigaciones abiertas de la HHS OCR muestra una entrada de PIH Health Inc. con 2 947 264 personas. Esta cifra representa la población afectada que se estableció tras la revisión de los datos por parte de la organización. El número de personas o registros afectados que publica la fuente oficial representa el alcance declarado del incidente. No significa que todas las categorías de datos divulgadas correspondieran a cada persona.

La cifra del HHS representa personas afectadas, no archivos robados ni filas de una base de datos. Un paciente puede tener varios registros médicos, por lo que el número de registros no tiene por qué coincidir con el número de personas.

El atacante, cuya identidad no se ha hecho pública, afirmó haber sustraído aproximadamente 2 TB de datos y 17 millones de registros de pacientes, exigió un rescate y publicó algunas muestras en línea. Según su afirmación, los datos incluían episodios de atención médica, registros de tratamientos contra el cáncer, correos electrónicos privados y documentos de la organización. PIH Health declaró inicialmente que no podía verificar la autenticidad de la nota de rescate ni las afirmaciones sobre el robo de datos.

La cifra posterior del HHS de 2 947 264 personas indica que la afirmación sobre los 17 millones de registros no representaba a pacientes únicos o era exagerada. El número de personas o registros afectados que publica la fuente oficial representa el alcance declarado del incidente. No significa que todas las categorías de datos divulgadas correspondieran a cada persona. Esta entrada se basa en el total del organismo regulador y en las categorías de información confirmadas por la organización.

PIH Health declaró que, en el momento de emitir las notificaciones, no había encontrado pruebas de uso indebido ni de intentos de uso indebido de la información afectada, y ofreció servicios gratuitos de monitoreo de crédito y protección contra el robo de identidad. Las personas que reciban las notificaciones deben revisar sus informes crediticios, cuentas fiscales y actividad financiera, y considerar la posibilidad de solicitar un congelamiento de crédito si su número de la Seguridad Social se vio afectado.

Los servicios, proveedores o reclamaciones que no se reconozcan en los estados de cuenta médicos y de seguros deben notificarse a través de los canales oficiales de privacidad de PIH Health y del plan de salud. Las personas cuyos datos de tarjetas o cuentas se hayan visto afectados pueden consultar con su entidad financiera sobre su reemplazo y un monitoreo reforzado.