Filtración de datos de VITAS Hospice Services de 2025

La fuente principal es la notificación de filtración de datos de catorce páginas que VITAS Hospice Services envió a las personas afectadas. En ella se explican directamente la fecha del descubrimiento, la cuenta comprometida del proveedor, el período de acceso, la descarga de datos, la investigación, las mejoras de seguridad y los veinticuatro meses de servicios de protección.

La segunda fuente es el portal de filtraciones de HHS OCR, que confirma el total de 319 177 personas registrado a nivel federal y las clasificaciones del incidente. La tercera es el informe de SecurityWeek del 9 de diciembre de 2025, que describe de forma independiente el alcance, el método de acceso y la descarga de datos de pacientes basándose en la notificación de VITAS y el registro federal. HIPAA Journal corrobora la misma cronología y las mismas categorías de datos.

El tercero no autorizado comprometió una cuenta perteneciente a un proveedor de VITAS y la utilizó para entrar en determinados sistemas de VITAS. La organización descubrió el incidente el 24 de octubre, mientras que el análisis forense identificó accesos no autorizados desde aproximadamente el 21 de septiembre hasta el 27 de octubre. Durante esa actividad, se consultó y descargó información de algunos pacientes actuales y antiguos.

Tras descubrir el incidente, VITAS tomó medidas para proteger sus sistemas, inició una investigación interna y contrató a expertos externos. La fecha aproximada de finalización del acceso, tres días después del descubrimiento, refleja la cronología establecida al concluir el análisis forense. La fecha del incidente se basa en la primera actividad técnica que puede verificarse mediante fuentes públicas.

Los campos variaban según la persona y pueden incluir nombres, direcciones, números de teléfono, fechas de nacimiento, números de la Seguridad Social, números de licencia de conducir, datos de contacto de familiares cercanos, diagnósticos, medicamentos, resultados de laboratorio, afecciones, información sobre tratamientos, información sobre seguros de salud y otros datos personales. Esta combinación de datos es muy sensible por el riesgo de suplantación de identidad y fraude médico.

VITAS no afirmó que todos los campos estuvieran presentes para las 319 177 personas. La carta de la empresa confirma la descarga de datos, pero las fuentes no acreditan su publicación, venta o transferencia a un grupo de ransomware identificado.

El número de personas afectadas o de registros publicado por la fuente oficial representa el alcance declarado del incidente. No significa que todas las categorías de datos divulgadas correspondieran a todas las personas. SecurityWeek y otras publicaciones sobre seguridad en el sector de la salud citan el mismo total federal. La cifra cuenta a las personas incluidas en las notificaciones, no archivos, visitas de cuidados paliativos, recetas, resultados de laboratorio ni elementos individuales de datos.

VITAS Hospice Services forma parte de la red nacional de atención para pacientes terminales y cuidados paliativos de VITAS Healthcare. El incidente afectó a información de pacientes actuales y antiguos, pero no se divulgaron el tamaño de cada grupo ni el número de personas afectadas por cada campo de datos, por lo que esta ficha no presenta totales desglosados.

VITAS declaró que protegió sus sistemas, inició una investigación interna, colaboró con una empresa líder en ciberseguridad y notificó a las fuerzas del orden. La organización también revisó y reforzó la supervisión de proveedores y los protocolos de protección de datos para reducir el riesgo de un incidente similar.

Cuando se emitió la carta, VITAS no tenía conocimiento de un uso indebido de la información personal. Aun así, las personas afectadas recibieron veinticuatro meses de servicios gratuitos de monitoreo de crédito, protección de identidad y monitoreo médico a través de Epiq. El paquete incluye restauración de identidad, asistencia para la congelación del crédito y alertas sobre determinados indicadores de exposición de la identidad médica.

Las personas que recibieron la notificación deben activar el servicio de Epiq dentro del plazo de inscripción indicado en la carta y revisar periódicamente los informes de crédito, los cambios de dirección, los documentos de explicación de beneficios del seguro de salud y los historiales de servicios médicos para detectar cuentas o actividades que no reconozcan. Cualquier registro sospechoso debe comunicarse por un canal oficial de la organización correspondiente.

La carta de VITAS indica expresamente que la organización no enviará comunicaciones electrónicas sobre el incidente y pide a los destinatarios que no compartan información personal por medios electrónicos. No se deben abrir enlaces inesperados que afirmen proceder de VITAS, Epiq, una aseguradora o un proveedor de servicios de salud; el contacto debe iniciarse a través de un número verificado. Si aparece un mensaje o una actividad de cuenta sospechosos, deben verificarse mediante el canal de contacto oficial vigente de la organización, sin utilizar los enlaces del mensaje.