Filtración de datos de UI Community HomeCare y UI Health Care de 2025

La fuente principal es el aviso público de University of Iowa Health Care del 29 de agosto de 2025. Indica que se accedió sin permiso al sistema de UI Community HomeCare y afirma expresamente que el ciberdelincuente podía ver archivos y obtener copias. Esa formulación confirma la obtención de los datos, y no solo la posibilidad de que se hubiera accedido a la información.

El portal federal de filtraciones de datos de HHS OCR registra 109 029 personas para University of Iowa Community Home Care y 101 875 para University of Iowa Health Care. Ambas entradas tienen la misma fecha de notificación, el mismo tipo de incidente y la misma ubicación de la información: 29 de agosto de 2025, hackeo/incidente de TI y servidor de red. HIPAA Journal revisó el anuncio de forma independiente e informó de un único incidente que afectó a unas 211 000 personas.

UI Community HomeCare detectó el 3 de julio que alguien había accedido a su sistema informático sin autorización. La organización apagó los servidores, contrató a expertos en ciberseguridad y restableció los sistemas de forma segura en el plazo de un día hábil. La fecha del incidente se basa en la primera actividad técnica que puede verificarse a partir de fuentes públicas.

El análisis forense determinó que la persona responsable no solo vio determinados archivos, sino que también obtuvo copias. UI Community HomeCare y UI Health Care tenían sistemas operativos, historias clínicas electrónicas y servicios de tecnología de la información independientes, pero su relación histórica incluía pacientes, empleados y archivos de datos compartidos. Por ello, el incidente también afectó a un conjunto de archivos de UI Health Care almacenados en el entorno de la organización afiliada.

El aviso oficial enumera como posibles campos los nombres, las fechas de nacimiento, las direcciones, los números de teléfono, los números de historia clínica, los proveedores de atención médica, las fechas de prestación de servicios, la información del seguro médico, los números de la Seguridad Social y los tipos de consulta. Estos campos se clasifican en las categorías más amplias de información personal e información de salud protegida. La combinación no era la misma para todas las personas, por lo que no se afirma que ningún campo concreto estuviera presente en los datos de todas las personas afectadas.

La sección de preguntas frecuentes del aviso señala que, para ciertos grupos de destinatarios a los que se dirigía, no había indicios de que se hubieran incluido números de la Seguridad Social, mientras que el aviso público principal enumera ese campo entre los posibles elementos. No se infiere la presencia de campos no divulgados, como diagnósticos, recetas, tarjetas de pago o contraseñas.

La investigación oficial confirmó que no hubo acceso no autorizado al sistema de historia clínica electrónica de UI Health Care. Esta limitación no resta importancia al incidente, ya que sí se copiaron datos de identidad, contacto, seguros y relaciones asistenciales almacenados en archivos compartidos. Esta entrada describe únicamente el alcance confirmado de los archivos afectados y no afirma que todo el sistema clínico se viera comprometido.

La organización se puso en contacto con las fuerzas del orden, implantó nuevas herramientas de monitorización, actualizó el firmware, cambió las contraseñas y eliminó archivos de los equipos afectados. Afirmó que no se habían identificado indicios de uso indebido cuando se emitieron los avisos. Esa conclusión no invalida la obtención confirmada de los datos ni permite descartar el riesgo futuro de fraude de identidad, de seguros o de atención médica.

El aviso oficial redondea el total combinado a aproximadamente 211 000 personas. HHS OCR publica el mismo incidente del 3 de julio en dos entradas correspondientes a entidades afiliadas: 109 029 y 101 875.

Las dos entradas de HHS no se presentan como ataques separados, porque la fecha, la infraestructura, el día de notificación y el relato oficial describen un único incidente. Los documentos públicos no indican si alguna persona figura en ambas entradas federales; dado que HHS registra las poblaciones bajo entidades distintas, su suma es la cifra exacta con mayor respaldo disponible. Las notas de las fuentes conservan tanto el método como la incertidumbre.

UI Health Care y UI Community HomeCare enviaron cartas por correo a las personas afectadas el 29 de agosto de 2025. La organización indicó que no ofrecía un servicio gratuito de seguimiento crediticio porque no había encontrado indicios de uso indebido en el momento de la notificación. Los destinatarios deben guiarse por los campos identificados en su propia carta y revisar periódicamente los extractos de sus cuentas, los informes crediticios y las explicaciones de beneficios de su seguro médico.

Si detecta un servicio médico, una reclamación al seguro, una nueva cuenta de crédito o un mensaje de verificación de identidad que no reconoce, póngase en contacto con la organización correspondiente a través de un canal oficial conocido. Extreme la precaución ante llamadas o enlaces inesperados que utilicen los nombres de las instituciones afectadas.