Brecha de datos de 2026 en Washington Department of Social and Health Services

La fuente principal es el Aviso de brecha de datos de tres páginas publicado en el sitio web oficial de DSHS. La carta del organismo explica el mes en que se descubrió el incidente, el acceso del antiguo empleado, los campos que pudo haber consultado, los detalles de salud excluidos, la revocación del acceso a los sistemas, la colaboración con las autoridades policiales y las medidas recomendadas para las personas afectadas.

La segunda fuente es el portal de brechas de HHS OCR, que confirma el alcance de 8 600 personas y las clasificaciones federales del incidente. La tercera es el informe de HIPAA Journal del 30 de junio de 2026, que describe de forma independiente el acceso interno, las categorías de datos, la salida del empleado y la respuesta de DSHS a partir del aviso oficial.

DSHS descubrió en marzo que un empleado había accedido a información personal en su sistema interno de datos de clientes por motivos ajenos a sus funciones. El organismo revocó de inmediato el acceso del empleado a los sistemas de DSHS, revisó su historial de actividad y de acceso a los datos de clientes, y colaboró con las autoridades policiales estatales y locales en una investigación en curso.

El aviso público no indica el primer ni el último día en que se consultaron datos sin autorización, ni cuánto tiempo duró esta actividad. No debe interpretarse como una indicación de la fecha exacta del acceso o del descubrimiento.

Según la revisión de DSHS, el antiguo empleado pudo haber consultado el nombre, la fecha de nacimiento, el número de la Seguridad Social, el número de cliente de DSHS y la categoría general de los servicios recibidos por un cliente. Estos campos contienen información personal sensible que podría facilitar la suplantación de identidad, los intentos de tomar el control de cuentas o la ingeniería social dirigida.

El organismo señaló expresamente que no encontró pruebas de que el empleado hubiera accedido a información de salud específica, como diagnósticos, resultados de pruebas, tratamientos, reclamaciones al seguro médico o notas de la historia clínica. Por ello, esta ficha recoge una categoría general de servicios, pero no añade diagnósticos no divulgados ni historiales médicos detallados. No se ha confirmado la descarga, la transferencia externa ni la publicación de archivos.

La cifra de personas afectadas o de registros publicada por la fuente oficial representa el alcance comunicado del incidente. No significa que todas las categorías de datos divulgadas correspondieran a cada persona. DSHS indicó que adoptó un criterio de precaución y se puso en contacto con todos los clientes cuya información el empleado pudo haber consultado, incluso si algún acceso concreto podía estar relacionado con el trabajo.

El total no es una cifra de casos de uso indebido confirmado, sino el número de personas a las que se notificó el incidente. Las fuentes no indican que todos los campos correspondieran a cada persona ni establecen que se hubiera consultado realmente la información de las 8 600 personas. Por ello, esta ficha no calcula cifras de subgrupos por campo ni suma cantidades de documentos, filas o eventos de acceso al número de personas.

El organismo revocó el acceso del empleado a los sistemas de DSHS inmediatamente después de identificar la actividad y revisó su historial de acciones. DSHS también afirmó que estaba implantando medidas de protección adicionales, revisando sus políticas y procedimientos de privacidad y seguridad de los datos, y colaborando con la investigación en curso de las autoridades policiales estatales y locales.

HIPAA Journal confirma que esta persona ya no trabaja para DSHS, pero las fuentes no indican si fue despedida a causa del incidente o si dejó el puesto de otra manera. El suceso no está vinculado a un atacante externo, a software malicioso, a un grupo de ransomware ni a un sitio de filtraciones.

Quienes reciban el aviso deben revisar periódicamente la actividad de su cuenta de DSHS, los extractos bancarios y de tarjetas de pago, y los informes de crédito para detectar movimientos o hechos que no reconozcan. Si aparece actividad sospechosa, deben ponerse en contacto con DSHS a través de un canal oficial; también puede ser pertinente informar a la Comisión Federal de Comercio, al fiscal general de Washington y a las autoridades policiales locales.

La combinación de un número de la Seguridad Social y una fecha de nacimiento requiere vigilancia a largo plazo. No se deben compartir números de cliente, contraseñas ni datos de identidad a través de llamadas, mensajes de texto o enlaces inesperados que afirmen representar a DSHS; el contacto debe iniciarse a través del número verificado que figura en el aviso. Si aparece un mensaje o una actividad sospechosa en la cuenta, debe comprobarse a través del canal de contacto oficial vigente de la organización, sin utilizar los enlaces del mensaje.