Filtración de datos de Saint Pete MRI de 2025

La fuente principal es el PDF oficial de Saint Pete MRI titulado «Aviso sustitutivo», fechado el 22 de julio de 2026 y enlazado directamente desde su página de inicio. El documento explica la fecha del descubrimiento, las medidas de seguridad adoptadas en los sistemas, las conclusiones forenses, las fechas de revisión de archivos y verificación de datos de contacto, las categorías de datos, la evaluación de un posible uso indebido, la notificación al HHS y el centro de atención telefónica.

Un expediente de notificación a consumidores de Massachusetts constituye otro registro estatal oficial sobre la organización. Claim Depot vincula el PDF de la organización con el registro del organismo regulador e informa de que se notificó a 107 personas en Massachusetts y a nueve en Vermont. Se trata de cifras parciales de esos estados, no de un total nacional. Las fuentes coinciden en la naturaleza del incidente, la cronología y las principales categorías de información de identidad y de salud.

Tras detectar actividad sospechosa en la red, Saint Pete MRI tomó medidas para proteger sus sistemas internos y contrató a expertos forenses independientes para determinar qué había ocurrido y qué datos podrían haberse visto afectados. Los especialistas confirmaron que no se había accedido a los sistemas electrónicos de atención a pacientes y diagnóstico médico por imagen de la organización. Sin embargo, determinaron que ciertos datos escaneados podrían haberse obtenido sin autorización.

El aviso público no identifica la vía de acceso inicial, al responsable, el malware, los momentos exactos de inicio y finalización, una exigencia de rescate ni la publicación de datos en línea. La conclusión de que los datos «podrían haberse obtenido» justifica tomar en serio la posibilidad de una extracción, pero no demuestra que se copiara cada documento escaneado ni que los campos de información presentes fueran los mismos para todas las personas.

Tras la investigación técnica inicial, un equipo independiente llevó a cabo una revisión exhaustiva que requirió mucho tiempo para identificar información personal en los archivos escaneados. Ese trabajo permitió concluir, el 7 de abril de 2026, que los datos afectados podrían haber contenido determinada información personal. A continuación, Saint Pete MRI verificó la identidad de las personas potencialmente afectadas, recopiló datos de contacto y evaluó el alcance de la información.

La verificación de identidades y datos de contacto concluyó el 15 de julio de 2026, unos diecisiete meses después del descubrimiento. El 22 de julio, la organización envió cartas mediante el servicio U.S. First-Class Mail a las personas cuyas direcciones estaban disponibles y publicó un aviso sustitutivo para aquellas con las que no pudo contactar.

Según el aviso oficial, podrían haber estado presentes nombres, números del Seguro Social, fechas de nacimiento, números de licencia de conducir o números de documento de identificación estatal. Esta combinación expone a riesgos a largo plazo de fraude crediticio, uso indebido de la identidad con fines fiscales, suplantación de identidad mediante documentos oficiales e ingeniería social dirigida. No debe suponerse que todos los campos de información se vieran afectados en el caso de cada persona.

Si ha recibido una notificación, revise sus informes crediticios para detectar cuentas o consultas que no reconozca y considere solicitar el congelamiento gratuito del crédito o una alerta de fraude en cada una de las tres principales agencias de información crediticia. Si se vio afectado un SSN, un PIN de protección de identidad del IRS puede ofrecer una medida de protección adicional. No facilite SSN, imágenes de documentos de identidad, contraseñas ni códigos de un solo uso en respuesta a mensajes inesperados que afirmen proceder de Saint Pete MRI, de una aseguradora o de un organismo público.

Los datos escaneados podrían contener información médica e información de seguros médicos. Estas categorías pueden vincular a una persona con un centro de diagnóstico por imagen, un laboratorio del sueño u otra relación de atención sanitaria, y podrían facilitar el fraude de identidad médica. Es importante la conclusión forense de que no se accedió a los sistemas electrónicos de atención a pacientes y diagnóstico por imagen: el incidente no debe interpretarse como una afectación de todo el contenido de esos sistemas.

El PDF oficial no confirma por separado la presencia de diagnósticos, tratamientos, imágenes, resultados de pruebas, recetas, números de historia clínica, números de póliza ni números de afiliación. LeakData mantiene las categorías de información médica y de seguros dentro del alcance divulgado. Revise los portales de pacientes y los documentos de explicación de beneficios para detectar servicios, estudios de diagnóstico por imagen, proveedores o cambios en los datos de contacto que no reconozca, y verifique directamente con las instituciones cualquier anotación sospechosa.

Los 107 residentes de Massachusetts y los nueve de Vermont son cifras parciales de las notificaciones en esos estados. Saint Pete MRI afirmó que, en el momento de la notificación, no tenía pruebas de uso indebido ni de intentos de uso indebido de la información.

La organización protegió sus sistemas, recurrió a equipos independientes para la revisión técnica y documental, envió avisos por correo postal, publicó un aviso sustitutivo y notificó a la Oficina de Derechos Civiles del HHS. Su centro de atención telefónica, en el 1-877-396-3217, está disponible de lunes a viernes de 9 a. m. a 9 p. m. ET. La evaluación de «ausencia de pruebas», limitada a ese momento, no elimina el riesgo futuro.