Brecha de datos de 2025 en Unlimited Technology Systems

La principal prueba es la carta de Unlimited Technology Systems dirigida a los consumidores y publicada en un expediente de la Fiscalía General de Iowa. En nombre de la empresa, la carta explica directamente cómo se descubrió el incidente, el periodo del 5 al 10 de octubre en el que pudieron obtenerse copias, la intervención de las fuerzas del orden y la respuesta forense, las categorías de información confirmadas, los datos expresamente excluidos, los dos años de servicios de Kroll y la línea de asistencia.

Un registro de la Fiscalía General de California constituye una constancia oficial independiente de la notificación. El registro BR-0005193 de la Fiscalía General de Texas informa de 3 836 316 personas afectadas en todo el país, entre ellas 277 364 residentes de Texas. Las cifras reportadas de 148 342 personas en Carolina del Sur y 2 223 en Massachusetts corresponden a subconjuntos estatales de ese total nacional.

Unlimited descubrió una actividad no autorizada en su centro de datos comercial el 19 de octubre. La empresa contrató a una destacada firma de análisis forense en ciberseguridad, notificó a las fuerzas del orden y revisó los datos implicados. La investigación concluyó que un actor no autorizado podría haber obtenido una copia de cierta información personal del 5 al 10 de octubre.

La carta pública no identifica la vía de acceso inicial, al actor, el malware, una exigencia de rescate ni la publicación de datos. La expresión «podría haber obtenido una copia» confirma la posibilidad de extracción, pero no demuestra que se copiaran todos los campos de datos de todas las personas. Dado que Unlimited trata información para proveedores de atención sanitaria, algunas personas podrían verse afectadas aunque no tengan una relación directa con la empresa.

Según la persona, los datos podrían incluir nombres, números de la Seguridad Social, fechas de nacimiento, direcciones de correo electrónico, direcciones físicas, números de teléfono y otra información demográfica. Los documentos escaneados podrían incluir licencias de conducir u otros documentos de identidad oficiales, tarjetas de seguro y formularios de admisión de pacientes. No debe suponerse que todos los campos estuvieran presentes para cada persona; las cartas individuales especifican el alcance concreto.

La combinación de un SSN, la fecha de nacimiento, los datos de contacto y las imágenes de documentos de identidad genera un riesgo persistente de fraude crediticio, uso indebido de la identidad con fines fiscales, suplantación de identidad mediante documentos e ingeniería social dirigida. Se recomienda a quienes reciban la notificación que consideren un bloqueo del historial crediticio, una alerta de fraude y un PIN de protección de la identidad del IRS, y que no faciliten imágenes de documentos de identidad, contraseñas ni códigos de verificación en mensajes que afirmen proceder de un proveedor de atención sanitaria o de Unlimited.

La información sobre seguros de salud y saldos de las cuentas de los pacientes podría incluir números de pólizas de seguro, información sobre reclamaciones o prestaciones y saldos de las cuentas de los pacientes. La información médica incluía números de historia clínica, fechas de atención y diagnósticos. Las tarjetas de seguro y los formularios de admisión también figuraban entre los documentos escaneados. Estos campos pueden facilitar el uso indebido de la identidad médica, las reclamaciones fraudulentas o las estafas que aprovechen información auténtica sobre la atención recibida.

Se recomienda revisar los documentos de explicación de prestaciones, los portales de pacientes y las cuentas con los proveedores de atención sanitaria para detectar servicios, diagnósticos, reclamaciones, saldos o cambios en los datos de contacto que no se reconozcan. Las entradas sospechosas deben verificarse directamente con el proveedor y la aseguradora. Dado que Unlimited presta servicios a varios clientes del sector sanitario, quien reciba una notificación y no reconozca a esta empresa debería verificar, a través de un canal oficial, la relación con el proveedor de atención sanitaria indicada en el aviso.

La carta oficial dirigida a los consumidores afirma expresamente que los datos del incidente no incluían historias clínicas completas ni imágenes médicas. También excluye información financiera, como datos de tarjetas de crédito y cuentas bancarias. La información sobre los saldos de las cuentas de los pacientes no contradice esta exclusión: puede haber información relativa a una deuda o un saldo sin que estén presentes los datos de tarjetas y cuentas bancarias.

La recomendación general de revisar los extractos bancarios y de tarjetas no demuestra que esos campos quedaran expuestos. Incluir por error datos que las fuentes excluyen distorsionaría tanto la evaluación del riesgo por parte de los usuarios como la exactitud de los resultados de búsqueda.

El registro BR-0005193 de la Fiscalía General de Texas publica un total nacional exacto de 3 836 316 personas afectadas, entre ellas 277 364 residentes de Texas. Las 148 342 personas de Carolina del Sur y las 2 223 de Massachusetts son subconjuntos y no se han sumado a la cifra nacional.

Unlimited reforzó la seguridad, investigó con especialistas forenses, notificó a las fuerzas del orden y ofreció a las personas que reunían los requisitos dos años de servicios de supervisión de la identidad de Kroll. El paquete incluye seguimiento del historial crediticio en una única agencia de información crediticia, asesoramiento sobre fraude y recuperación de la identidad tras un robo de identidad. Para consultas, puede llamar al 844-576-3063 de lunes a viernes, de 9 a. m. a 6:30 p. m. ET.