Brecha de datos de TriCity Family Services

En la primavera de 2025, la organización detectó indicios de acceso no autorizado a sus sistemas, protegió su entorno informático e inició una investigación con una empresa externa de ciberseguridad. La revisión determinó que un actor no autorizado había accedido a la red y descargado copias de ciertos archivos entre el 11 de noviembre de 2024 y el 14 de mayo de 2025.

La notificación oficial no identifica el método de acceso inicial, la vulnerabilidad explotada ni al actor responsable. TriCity afirma expresamente que sus historias clínicas electrónicas no se vieron afectadas y que el impacto se limitó a la información recopilada durante la admisión.

Según la persona, la información afectada pudo incluir nombres, fechas de nacimiento, problemas que motivaron la consulta, tratamientos solicitados, centros de tratamiento y nombres de los profesionales de salud. Esta combinación de datos es sensible porque puede vincular la identidad de una persona con un contexto de salud mental.

El alcance oficial del incidente no incluye números de la Seguridad Social, cuentas financieras, tarjetas de pago, contraseñas ni historias clínicas electrónicas completas. Las instrucciones generales de protección crediticia incluidas en la notificación no deben interpretarse como prueba de que esos datos se vieran afectados.

El registro de la brecha del Departamento de Salud y Servicios Humanos de Estados Unidos, fechado el 8 de diciembre de 2025, informa de 2 511 personas afectadas y clasifica el suceso como un incidente de intrusión informática/IT relacionado con un servidor de red.

Quienes reciban la notificación deben atenerse al alcance de los datos indicado en sus propias cartas y revisar la actividad del portal del paciente, los documentos de explicación de beneficios del seguro médico y las facturas médicas para detectar servicios, proveedores o reclamaciones que no reconozcan.

Detalles como el problema que motivó la consulta o el tratamiento solicitado pueden hacer más convincentes los fraudes dirigidos a una persona concreta. Las comunicaciones inesperadas que utilicen el nombre de TriCity deben verificarse de forma independiente a través de un canal oficial, sin utilizar los enlaces ni los números indicados en el mensaje para devolver la llamada.