Filtración de datos de Virginia Transportation de 2025

La fuente principal es el PDF «Notificación de una filtración de datos», publicado en el dominio de la propia empresa. El documento indica expresamente la fecha del descubrimiento, el trabajo forense realizado con profesionales externos de ciberseguridad, la probable copia de archivos, la fecha de finalización de la revisión de los archivos, las categorías de datos confirmadas y la línea telefónica que la empresa habilitó para atender consultas sobre el incidente.

Un registro de la Oficina de Asuntos del Consumidor y Regulación Empresarial de Massachusetts incluye un modelo de notificación individual y confirma la oferta de monitoreo de identidad de Kroll. Claim Depot vincula las comunicaciones oficiales de la empresa y de las autoridades estatales, y corrobora la cronología, las categorías de datos y las cifras parciales de personas afectadas por estado. Las tres fuentes coinciden en los hechos esenciales del incidente.

La empresa tuvo conocimiento de una actividad no autorizada en su red el 16 de septiembre o en torno a esa fecha e inició de inmediato una investigación. Un amplio trabajo forense con profesionales externos de ciberseguridad determinó que ese día se produjo un acceso no autorizado a la red y que probablemente se copiaron archivos de ella. La notificación oficial no indica un período de acceso más prolongado.

Virginia Transportation notificó después a las entidades afiliadas afectadas y trabajó para obtener direcciones postales actualizadas. La revisión de la información de los archivos, realizada persona por persona, concluyó el 6 de julio de 2026, cuando la empresa determinó que se habían visto afectados datos personales. La notificación pública no reveló el método de acceso inicial, la identidad del responsable ni las herramientas utilizadas.

La lista oficial incluye nombres completos combinados con información financiera, números de identificación fiscal, fechas de nacimiento, números de licencia de conducir o de identificación estatal, números de pasaporte, números de seguro social y números de la Seguridad Social. La empresa aclara expresamente que no todos los campos se vieron afectados en el caso de cada persona, por lo que el contenido de los archivos puede variar de una persona a otra.

La fuente menciona la «información financiera» como una categoría general; no detalla ninguna cuenta bancaria, número de tarjeta de pago, saldo ni registro de transacciones específico. La notificación tampoco incluye direcciones postales, direcciones de correo electrónico, números de teléfono, contraseñas ni credenciales de acceso entre los campos confirmados.

La notificación de la empresa menciona expresamente la información sobre seguros médicos y la información médica entre los campos que podrían haberse visto afectados. El texto público no identifica por separado diagnósticos, tratamientos, recetas, números de historias clínicas, fechas de atención ni nombres de proveedores de atención médica.

La posible presencia de datos de identidad, información financiera y datos de salud en el mismo conjunto de archivos puede generar riesgos que van más allá del robo de identidad, como la suplantación de identidad para recibir atención médica y las reclamaciones fraudulentas a aseguradoras. Esto no significa que todas esas categorías estuvieran combinadas para cada persona. La notificación oficial señala que no había indicios de robo de identidad ni de fraude relacionados con el incidente.

Un anexo de la notificación pública de la empresa indica que se vieron afectados 268 residentes de Rhode Island; Claim Depot también informa de 119 residentes de Massachusetts y dos de Vermont. Son cifras parciales correspondientes a estados concretos. Como no se publicó un total nacional definitivo sin duplicados, sumar las cifras estatales y presentarlas como un total de Estados Unidos sería engañoso.

Virginia Transportation declaró que evalúa continuamente sus prácticas y controles internos, colaboró con las entidades afiliadas afectadas y habilitó una línea telefónica específica para atender consultas sobre el incidente. La carta de Massachusetts confirma que se ofrece monitoreo de identidad gratuito de Kroll a los destinatarios que cumplan los requisitos. Como el número de membresía y la fecha límite de activación están ocultos en el modelo público, LeakData no hace suposiciones sobre la duración del servicio ni sobre la fecha límite.

Quienes reciban la notificación deben revisar sus estados de cuenta, informes de crédito, registros fiscales y documentos de explicación de beneficios del seguro médico para detectar transacciones, cuentas, reclamaciones o servicios que no reconozcan. Cuando están involucrados números de la Seguridad Social y otros identificadores gubernamentales, un congelamiento del crédito, una alerta de fraude y un PIN de protección de identidad del IRS pueden ser medidas de protección adecuadas.

No se deben facilitar datos de identidad, información de salud ni códigos de verificación, ni realizar pagos, en respuesta a correos electrónicos, mensajes de texto o llamadas inesperados de quienes afirmen representar a Virginia Transportation. La elegibilidad debe confirmarse únicamente a través de la línea 1-844-858-8919 que figura en la notificación oficial. Si aparece un mensaje o una actividad sospechosa en una cuenta, debe verificarse mediante el canal de contacto oficial vigente de la organización, sin utilizar los enlaces del mensaje.