Brecha de datos de South Florida Injury Centers de 2026

La fuente principal es la carta de South Florida Injury Centers a los pacientes, publicada por la Oficina de Asuntos del Consumidor y Regulación Empresarial de Massachusetts. En ella se describen directamente la fecha del hallazgo, el periodo de acceso, el análisis forense, la notificación a las autoridades policiales, la información personal y de salud que podría haberse visto afectada, la protección de identidad gratuita y las medidas que los pacientes pueden tomar.

El registro federal de HHS OCR clasifica a SFIC como proveedor de servicios de salud de Florida e indica que hubo 1 525 personas afectadas, que la notificación se presentó el 22 de mayo de 2026, que el incidente se produjo en servidores de red y que se trató de una intrusión informática o un incidente de TI. De forma independiente, Claim Depot relaciona esa misma cifra de personas con las comunicaciones regulatorias de Indiana y Massachusetts y con las categorías de información indicadas en la carta oficial.

SFIC detectó actividad sospechosa en determinados servidores de su red el 23 de marzo de 2026. Protegió el entorno, inició una investigación sobre la naturaleza y el alcance del incidente, contrató a expertos externos en ciberseguridad para realizar un análisis forense de los sistemas afectados y notificó a las autoridades policiales. La investigación situó el acceso a la red entre el 21 de febrero y el 15 de marzo.

La carta oficial señala que parte de la información de los pacientes podría haberse visto afectada, pero no afirma de manera concluyente que el atacante copiara o extrajera archivos. Las fuentes no identifican al atacante, el método de acceso inicial, la vulnerabilidad explotada ni la técnica de persistencia utilizada. Las cifras de personas afectadas, los campos de datos y las afirmaciones de los actores de amenazas que no se han verificado no se consideran parte del alcance del incidente descrito públicamente.

La notificación oficial identifica los nombres y los números de la Seguridad Social como posibles datos personales afectados. La combinación de un nombre con un SSN aumenta el riesgo de robo de identidad, solicitudes fraudulentas de crédito o de carácter fiscal y suplantación de identidad dirigida. El documento indica que la información puede variar de una persona a otra, por lo que este registro no presupone que la misma combinación de datos se viera afectada para todos los pacientes.

El ofrecimiento de servicios de monitoreo de identidad tampoco demuestra por sí solo que se vieran afectados datos financieros no mencionados. Las categorías de datos se limitan al alcance verificado en la carta oficial a los pacientes.

La información de salud que podría haberse visto afectada incluye detalles sobre diagnósticos y tratamientos, resultados de pruebas diagnósticas, como informes de MRI o radiografías, registros hospitalarios y formularios de admisión que pueden contener antecedentes médicos proporcionados por el paciente. Estos datos pueden revelar afecciones físicas, lesiones e historial de atención, además de aumentar los riesgos para la privacidad médica y de suplantación de identidad médica.

La fuente oficial no afirma que se viera afectada toda la plataforma de historias clínicas electrónicas ni el expediente completo de cada paciente. «Registros hospitalarios» y «formularios de admisión» se refieren a documentos específicos incluidos en el alcance del incidente.

South Florida Injury Centers protegió su entorno, llevó a cabo una investigación forense con especialistas externos en ciberseguridad, revisó la información potencialmente afectada y, por precaución, notificó a las personas correspondientes. La organización informó que no había encontrado indicios de robo de identidad ni de fraude relacionados con el incidente. Ese resultado no descarta la posibilidad de un uso indebido en el futuro.

A las personas afectadas se les ofrecieron 24 meses de Iris Identity Protection. El paquete incluye monitoreo crediticio de una sola agencia, Equifax, monitoreo de identidad, seguro contra el fraude de identidad y servicios de resolución de problemas de identidad. La inscripción debe realizarse dentro de los 90 días siguientes a la fecha de la carta. LeakData no almacena el código promocional específico de cada destinatario porque no aparece publicado en la fuente pública.

Los pacientes deberían revisar sus informes crediticios, la actividad de sus cuentas financieras, los documentos de explicación de beneficios de su seguro médico y los portales para pacientes para detectar actividad inusual. Si aparece una cuenta de crédito, una MRI, una radiografía, un registro hospitalario o un tratamiento que no reconocen, deberían contactar con la organización correspondiente por un canal verificado; ante el riesgo relacionado con el SSN, puede ser conveniente solicitar una alerta de fraude gratuita o un bloqueo del crédito.

No se deben compartir SSN ni información de salud en correos electrónicos, mensajes o llamadas inesperados de quienes afirmen representar a SFIC o Iris; solo se deben utilizar los canales de asistencia indicados en la carta individual. Si aparece un mensaje sospechoso o una actividad sospechosa en una cuenta, se debe verificar a través del canal de contacto oficial vigente de la organización, sin utilizar los enlaces del mensaje.