Brecha de datos de Restorix Health de 2024

La notificación oficial de Restorix vincula el periodo de acceso, las fechas de detección y revisión, los tipos de información indicados y la respuesta de la organización con un mismo incidente. El registro de HHS OCR confirma la identidad de Restorix Health, su función como socio comercial de entidades sanitarias, el entorno de correo electrónico y la cifra actual de 38 553 personas.

Un resumen independiente del incidente que da seguimiento a la documentación presentada ante las autoridades estatales también corrobora el periodo de acceso del 7 al 29 de mayo, la fecha clave de revisión de los datos del 27 de noviembre de 2024, la notificación a las entidades sanitarias colaboradoras el 18 de diciembre y el inicio de las notificaciones individuales el 14 de febrero de 2025. Los campos de datos indicados variaban según la persona; la cifra total de 38 553 no significa que todos los campos correspondieran a todas las personas.

Un actor no autorizado accedió a la cuenta de correo electrónico de un empleado de Restorix entre el 7 y el 29 de mayo. Restorix afirma que tuvo conocimiento del acceso el 30 de mayo o en torno a esa fecha, protegió la cuenta y contrató a especialistas para determinar la naturaleza y el alcance del incidente.

Una investigación exhaustiva y la revisión de documentos permitieron determinar, el 27 de noviembre, que la cuenta a la que se accedió contenía información personal o información de salud protegida de personas vinculadas a entidades sanitarias colaboradoras. Las fuentes públicas no revelan cómo se vulneró la cuenta, qué debilidad técnica se aprovechó ni la identidad del actor responsable.

Según la persona, la información potencialmente afectada incluía nombres y apellidos, fechas de nacimiento, números de licencia de conducir, otros números de identificación emitidos por organismos públicos, números de pasaporte y números de la Seguridad Social. La notificación oficial también enumeraba identificadores de pacientes y números de certificados o licencias.

Los datos de salud podrían haber incluido información médica y sobre medicamentos recetados, fechas de atención, afecciones, tratamientos o diagnósticos e información del seguro de salud. No se añaden cuentas financieras, tarjetas de pago, contraseñas ni direcciones de correo electrónico de los destinatarios de las notificaciones porque la notificación oficial no las enumera.

Los números de identificación, combinados con datos de pacientes e información de salud, pueden facilitar el robo de identidad, el fraude sanitario o el envío de mensajes dirigidos y convincentes. Los números de la Seguridad Social, de pasaporte y de identificación emitidos por organismos públicos no se pueden cambiar sin más, por lo que puede ser conveniente mantener la vigilancia durante un periodo prolongado.

Quien conozca datos reales sobre un tratamiento, una receta, una fecha de atención o un seguro puede elaborar una solicitud más convincente afirmando que representa a Restorix, a un hospital, a una clínica o a una aseguradora. Disponer de esos datos no demuestra que tenga autoridad para actuar en su nombre, y las solicitudes inesperadas deben verificarse por un canal independiente.

Restorix protegió la cuenta a la que se había accedido, contrató a especialistas externos en análisis forense y realizó una revisión manual de documentos para identificar la información afectada. Las entidades sanitarias colaboradoras fueron informadas el 18 de diciembre de 2024, y el envío de notificaciones a las personas para las que se disponía de una dirección postal comenzó el 14 de febrero de 2025.

La organización afirma que implementó medidas adicionales de ciberseguridad, reforzó la formación de los empleados y revisó sus políticas y procedimientos. La versión oficial no describe el suceso como un ataque de ransomware, no identifica a ningún actor concreto ni informa de usos indebidos conocidos de la información indicada.

Quienes hayan recibido una notificación deben revisar periódicamente sus cuentas financieras, informes de crédito y resúmenes de prestaciones del seguro de salud para detectar cuentas, transacciones, servicios o solicitudes de reembolso que no reconozcan. La actividad sospechosa debe comunicarse a la entidad financiera, al proveedor de atención sanitaria, a la aseguradora y, cuando corresponda, a las autoridades pertinentes.

No comparta un número de la Seguridad Social, información de pacientes, una contraseña ni un código de verificación de un solo uso en respuesta a un correo electrónico, mensaje o llamada inesperados. Si una solicitud afirma proceder de Restorix o de una organización sanitaria, verifíquela mediante los datos de contacto del sitio web oficial, en lugar de utilizar los enlaces o números incluidos en el mensaje.