Brecha de seguridad de los datos de Saint Anthony Hospital de 2025

La principal evidencia es el Aviso de incidente de seguridad de datos que el hospital publicó en su propio dominio. En él se indica que una parte no autorizada podría haber accedido a dos cuentas de correo electrónico de empleados y que el incidente dio lugar al acceso no autorizado a determinados archivos no estructurados de la red o a su obtención. La organización también confirma que aplicó medidas de contención a los sistemas afectados e investigó lo ocurrido con especialistas externos en ciberseguridad.

HHS OCR registra el evento bajo la categoría de Proveedor de atención sanitaria, lo clasifica como Incidente de piratería informática/IT e identifica el Correo electrónico como la ubicación de la información afectada. La cifra federal de 146 108 personas respalda, mediante un registro regulatorio, la conclusión del hospital de que el incidente involucró información personal y de salud de pacientes. HIPAA Journal comparó las fuentes de forma independiente y corroboró la fecha de acceso, la finalización de la revisión, las fechas de notificación y el alcance actualizado.

Según el aviso oficial, se accedió a los archivos y carpetas no estructurados o se obtuvieron el 27 de febrero de 2025 o en torno a esa fecha. La fecha del incidente se basa en la actividad técnica más temprana que puede verificarse mediante fuentes públicas. El texto público no identifica el primer día en que el responsable accedió a las cuentas, la duración total del acceso ni la fecha en que el hospital detectó inicialmente el evento, por lo que esta ficha no atribuye una fecha de inicio anterior sin fundamento.

Saint Anthony trabajó con especialistas para identificar los datos y las personas afectadas, y terminó la revisión de los archivos en torno al 13 de febrero de 2026. Después publicó un aviso sustitutivo y comenzó a enviar notificaciones por correo postal a las personas potencialmente afectadas el 6 de marzo de 2026. El intervalo de aproximadamente un año corresponde al proceso de revisión de archivos e identificación de las personas a las que pertenecían los datos; no significa que el atacante permaneciera presente durante todo ese periodo.

El comunicado oficial de marzo de 2026 indica que los datos no estructurados afectados contenían información personal de pacientes e información personal de salud. No detalla nombres, direcciones, fechas de nacimiento, números del Seguro Social, diagnósticos, recetas ni números de cuenta para este evento. Las cifras de personas, los campos de datos y las afirmaciones de actores de amenazas que no se hayan verificado no se consideran parte del alcance público del incidente.

Un aviso público anterior de Saint Anthony enumeraba campos concretos, pero HHS muestra incidentes con fechas y cifras de personas afectadas distintas, por lo que combinarlos automáticamente no sería fiable. Esta ficha corresponde al aviso de marzo de 2026 relativo a 146 108 personas y no incorpora la lista de campos del incidente anterior al alcance del más reciente. Tampoco presupone que los archivos de todas las personas contuvieran las mismas categorías de información.

La investigación forense de Saint Anthony determinó que este incidente no afectó a su sistema de historias clínicas electrónicas. Esa exclusión no significa que no hubiera información de salud involucrada: se encontró información personal de pacientes e información de salud protegida en archivos no estructurados asociados al entorno de correo electrónico. Esta distinción separa la plataforma central de historias clínicas electrónicas de los documentos almacenados en el correo electrónico o en ubicaciones de la red.

Por ello, LeakData identifica el Correo electrónico como el sistema afectado y no da a entender que toda la plataforma clínica se viera comprometida. Los archivos no estructurados podrían ser adjuntos, documentos escaneados o registros sin un formato definido, pero las fuentes no especifican sus formatos exactos, por lo que esas posibilidades no se presentan como hechos. La exposición documentada sigue limitada a las dos categorías que el hospital confirmó expresamente.

La cifra de personas afectadas o de registros publicada por la fuente oficial representa el alcance declarado del incidente. No significa que todas las categorías de datos divulgadas correspondieran a cada persona. Es el número total de personas afectadas comunicado al regulador federal, no el número de archivos, cuentas de correo electrónico o campos de datos únicos. Las dos cuentas de empleados describen los puntos de acceso implicados en el incidente y no deben confundirse con el número de víctimas.

Como el portal de HHS también contiene un incidente de correo electrónico de Saint Anthony de menor alcance notificado en 2025, la comprobación de duplicados no se basó únicamente en el nombre de la organización. Este registro se distingue por la combinación de la fecha de acceso del 27 de febrero, la notificación del 6 de marzo de 2026 y el alcance de 146 108 personas. No se suman registros federales independientes ni se calcula un posible solapamiento desconocido entre las personas afectadas por distintos eventos.

En el momento de publicar el aviso, el hospital afirmó que no tenía conocimiento de pruebas de uso indebido de la información ni de que se hubieran producido robos de identidad o fraudes. Aun así, recomendó a las personas afectadas que revisaran periódicamente los estados de sus cuentas financieras, sus informes crediticios y las explicaciones de beneficios de sus seguros de salud. Si un servicio, una reclamación o un pago resulta desconocido, debe consultarse con el proveedor o la aseguradora correspondiente a través de un canal oficial conocido.

Los enlaces inesperados, las solicitudes de pago y los mensajes de verificación de identidad enviados en nombre de Saint Anthony requieren especial atención, ya que el contexto del incidente podría facilitar ataques de phishing dirigidos. Quienes reciban una notificación deben basarse en el alcance que les corresponda individualmente y en los datos de contacto oficiales incluidos en la carta enviada por correo postal. LeakData no publica ni busca archivos robados de pacientes; solo proporciona metadatos verificados del incidente, fuentes y orientación práctica sobre los pasos que pueden seguirse.