Brecha de datos de Tri-Century Eye Care de 2025

El documento principal es el «Aviso de incidente de seguridad de datos» de la organización, fechado el 30 de octubre de 2025. El PDF archivado describe el hallazgo del 3 de septiembre, la determinación del alcance del 19 de septiembre, la obtención de archivos por parte de un actor desconocido, los tipos de datos, el sistema EMR actual que no se vio afectado, las medidas de protección adicionales, las notificaciones a HHS y al FBI, y la línea de asistencia 1-800-405-6108.

La segunda fuente es la entrada oficial de HHS/OCR del 31 de octubre, que recoge una cifra de 200 000 personas. La página del incidente de fuente pública sobre la filtración de datos vincula de forma independiente el mismo aviso oficial con el total federal.

Cuando Tri-Century detectó actividad sospechosa en la red el 3 de septiembre, protegió el entorno e inició una investigación con expertos en ciberseguridad. Para el 19 de septiembre, la información disponible indicaba que un actor desconocido había accedido a la red sin autorización y había obtenido determinados archivos que contenían datos personales o información de salud protegida de empleados y pacientes.

El aviso oficial no revela los momentos exactos en que comenzó y terminó el acceso del actor. La fecha del incidente se basa en la actividad técnica más temprana que puede verificarse mediante fuentes públicas. La determinación del alcance del 19 de septiembre, el aviso público del 30 de octubre y el informe a HHS del 31 de octubre son etapas distintas.

El aviso oficial enumera los siguientes datos como posiblemente afectados: nombres, números de la Seguridad Social, fechas de nacimiento, información médica o de salud, información sobre tratamientos o diagnósticos, información del seguro médico, información de facturación o pagos, e información fiscal o financiera.

El alcance varía según la persona y no debe suponerse que todos los campos estuvieran presentes para todas las personas. Aunque la organización afirma que se obtuvieron archivos, esto no demuestra que todos los campos aparecieran en cada archivo ni que todas las personas se vieran afectadas por todos los tipos de datos. Las muestras que el atacante afirma tener no se utilizan para ampliar las categorías principales de datos.

La organización afirma expresamente que no había indicios de acceso a su sistema actual de historias clínicas electrónicas. Esta delimitación es importante: la obtención de determinados archivos con información de salud no significa que se accediera a todo el sistema EMR en uso ni que se copiara la base de datos clínica completa.

La descripción y las etiquetas de LeakData mantienen esta distinción. La información de salud, tratamientos y diagnósticos se incluye a partir de la revisión oficial de los archivos, mientras que «historia clínica electrónica» no se añade como un sistema afectado por separado. Las personas destinatarias deben consultar sus cartas individuales para saber qué campos les correspondían.

200 000 es la cifra de personas afectadas publicada en el portal de HHS/OCR; no es un recuento de archivos, documentos o filas de datos filtrados. La cifra de personas o registros afectados publicada por la fuente oficial representa el alcance comunicado del incidente. No significa que todas las categorías de datos divulgadas correspondieran a todas las personas.

La expresión «200K+» de los titulares de fuentes secundarias no se añade como otro total. La cifra de 200 000 de la entrada federal actual se mantiene como el único recuento oficial de personas.

Tri-Century afirmó que había implantado requisitos más estrictos para las contraseñas, cambios de contraseña más frecuentes, una reducción de los permisos de acceso y el almacenamiento sin conexión de los datos más antiguos. Se notificó a HHS y al FBI. La organización habilitó el centro de atención telefónica 1-800-405-6108, disponible de lunes a viernes de 8:00 a. m. a 8:00 p. m., hora del Este.

Las personas destinatarias deben revisar periódicamente sus cuentas financieras, informes de crédito y documentos de explicación de beneficios del seguro médico. Cualquier tratamiento, reclamación, factura o pago que no reconozcan debe verificarse directamente con la entidad correspondiente. Ante comunicaciones inesperadas que afirmen representar a Tri-Century, no se debe facilitar el número completo de la Seguridad Social (SSN), información de salud, contraseñas, datos de pago ni códigos de un solo uso. Si aparece un mensaje sospechoso o se produce un evento sospechoso en una cuenta, debe verificarse a través del canal de contacto oficial vigente de la organización, sin utilizar los enlaces del mensaje. Cuando se disponga de una carta de notificación individual, esta será la fuente principal para conocer el alcance de los datos de esa persona y las opciones de protección ofrecidas. Las fechas y las categorías de datos deben interpretarse únicamente en la medida en que estén respaldadas por fuentes públicas; los detalles no divulgados no deben tratarse como confirmados.