Filtración de datos de Rocky Mountain Gastroenterology (366 491 personas)

La organización detectó actividad sospechosa en su red el 13 de septiembre de 2024 e inició una investigación para determinar el alcance del incidente. La revisión determinó que un actor malicioso había accedido sin autorización a ciertos archivos y pudo haberlos copiado.

Las fuentes públicas no revelan la fecha exacta del acceso inicial, cuánto tiempo permaneció el actor en la red ni el método utilizado. Por lo tanto, el 13 de septiembre es la fecha de detección, no una fecha señalada como el inicio de la intrusión. Tampoco se confirmaron la identidad del actor ni ninguna vulnerabilidad que pudiera haber aprovechado.

La información variaba de una persona a otra. Las categorías de datos divulgadas incluían nombres, direcciones, fechas de nacimiento, números de cuenta de pacientes, números de historia clínica, números de Seguro Social y números de identificación del seguro de salud.

Los archivos afectados también pudieron contener información sobre diagnósticos y tratamientos. No todas las categorías correspondían a todos los pacientes, por lo que quienes reciban una notificación deben guiarse por los datos indicados en su aviso individual.

La lista vigente de filtraciones de datos que mantiene la Oficina de Derechos Civiles del Departamento de Salud y Servicios Humanos de Estados Unidos informa de 366 491 personas afectadas. HHS clasifica el suceso como un incidente de intrusión informática o de tecnologías de la información que involucró un servidor de red de un proveedor de servicios de salud.

Documentos judiciales posteriores también vinculan a un grupo de aproximadamente 366 491 personas con el mismo incidente de septiembre de 2024. Esta es la cifra total de personas afectadas que se ha comunicado; no se sumaron las cifras de distintas descripciones que se referían al mismo alcance.

Los números de Seguro Social, combinados con fechas de nacimiento y direcciones, pueden facilitar la suplantación de identidad o las solicitudes fraudulentas de apertura de cuentas. Los identificadores de pacientes y de seguros pueden generar riesgos de reclamaciones fraudulentas de prestaciones de salud o de uso indebido de la identidad médica.

Los detalles sobre diagnósticos y tratamientos también suponen un riesgo importante para la privacidad. Un atacante puede hacerse pasar por un proveedor de servicios de salud o una aseguradora y utilizar datos específicos de una persona para que un mensaje resulte más convincente. Por ello, las solicitudes inesperadas deben verificarse mediante un canal de contacto independiente.

La organización afirmó que implementó medidas de protección adicionales y comenzó a enviar cartas de notificación individuales por correo postal el 13 de noviembre de 2024. Una demanda colectiva posterior se resolvió mediante un acuerdo sin que las partes admitieran responsabilidad.

Quienes reciban una notificación pueden revisar sus informes de crédito y cuentas financieras para detectar movimientos que no reconozcan, y considerar un bloqueo de crédito o una alerta de fraude si su número de Seguro Social estuvo involucrado. Las transacciones sospechosas deben comunicarse directamente a la institución correspondiente.

Se deben revisar los documentos explicativos del seguro de salud, los portales de pacientes y las facturas médicas para detectar servicios que no se hayan recibido. Antes de abrir enlaces o compartir información personal en un mensaje que afirme proceder de la organización o de una aseguradora, se debe verificar el canal de contacto de forma independiente a través del sitio web oficial.