Brecha de datos de Waveny LifeCare Network de 2025

La fuente principal es la «Notificación de un incidente de seguridad de datos» de Waveny, publicada en su propio dominio. En ese documento, la organización describe directamente la interrupción de la red en torno al 28 de mayo, el hallazgo de que una parte no autorizada accedió a determinados datos, las categorías de datos que se estaban revisando, su línea de asistencia y las mejoras de seguridad realizadas tras el incidente.

El portal público de HHS OCR incluye una entrada sobre la brecha de datos sanitarios de Waveny LifeCare Network, con 27 113 personas afectadas. Un documento de notificación a consumidores de Massachusetts corrobora la asistencia gratuita de monitoreo, mientras que Claim Depot reúne las fuentes oficiales de la organización y de los estados y resume la cronología y el alcance del incidente. Las fuentes coinciden en la entidad, la fecha del incidente, los tipos de datos y el número total de personas afectadas.

Waveny sufrió una interrupción del funcionamiento de sus sistemas de red el 28 de mayo o en una fecha cercana. La organización adoptó de inmediato medidas internas de respuesta, notificó a las autoridades policiales y contrató a destacados especialistas en ciberseguridad para examinar la naturaleza del incidente. Su aviso oficial indica que la investigación determinó que una parte no autorizada accedió a determinados datos durante el incidente.

Una fuente secundaria vincula el incidente con actividad de ransomware y con una reivindicación de autoría de un grupo llamado Qilin. El aviso principal de Waveny no identifica a ningún responsable, ni el método de acceso inicial ni el malware utilizado, y tampoco confirma que los datos se publicaran realmente en la web oscura.

La información que podría haberse visto afectada incluye nombres y apellidos junto con direcciones, fechas de nacimiento, números de teléfono, direcciones de correo electrónico, números de la Seguridad Social y números de licencia de conducir. Es posible que también hubiera fotografías del rostro. Como los datos variaban de una persona a otra, la lista reúne los campos que podrían haber estado presentes, en lugar de representar un perfil completo disponible para cada individuo.

La combinación del nombre, la fecha de nacimiento y el SSN genera un riesgo considerable de fraude mediante la apertura de nuevas cuentas y de uso indebido de la identidad para fines fiscales. Los datos de correo electrónico, teléfono y dirección pueden facilitar intentos convincentes de phishing que suplanten a Waveny o a otra organización sanitaria. Una fotografía del rostro no constituye necesariamente una plantilla biométrica, y el texto oficial no confirma de forma específica que hubiera plantillas de reconocimiento facial entre los datos afectados.

El aviso oficial enumera fechas de ingreso, fechas de alta, fecha de fallecimiento, números de historia clínica, números de cuenta de pacientes, resultados de pruebas de laboratorio, resultados de pruebas de diagnóstico por imagen e historias clínicas electrónicas. Los números de cuenta o de póliza de seguros de salud y la información de Medicare o Medicaid también figuraban entre los datos potencialmente afectados. Estos datos vinculan directamente a una persona con su historial de tratamientos.

Los identificadores médicos y de seguros pueden utilizarse indebidamente para obtener servicios de forma fraudulenta, hacer un uso indebido de la identidad en el ámbito sanitario y realizar estafas dirigidas. Los pacientes deberían revisar los portales de atención sanitaria, los resúmenes de facturación y los documentos de explicación de beneficios del seguro para detectar servicios sin explicación, proveedores que no reconozcan o solicitudes de cobertura desconocidas. Los cambios inesperados en las historias clínicas deberían comunicarse directamente al proveedor correspondiente.

Los posibles campos afectados también incluyen información de pagos y números de cuentas financieras. El texto oficial no aclara si la información de pagos se refiere a un número de tarjeta, un registro de transacciones u otro campo financiero, y no publica ningún nombre de banco ni código de acceso a cuentas.

El número de personas o registros afectados publicado por la fuente oficial representa el alcance declarado del incidente. No significa que todas las categorías de datos divulgadas correspondieran a todas las personas. Claim Depot ofrece ejemplos por estado: 174 residentes de Massachusetts, 19 de Maine y nueve de Vermont. Estos subconjuntos no se suman al total nacional.

Waveny puso en marcha medidas internas de respuesta, notificó a las autoridades policiales, investigó el incidente con especialistas en ciberseguridad y adoptó medidas adicionales para reforzar la seguridad de los sistemas. La documentación de notificación de los estados ofrecía a los destinatarios que cumplían los requisitos 24 meses de monitoreo del crédito y protección de la identidad a través de Cyberscout. Se habilitó una línea específica en el 833-353-3395, con atención de 9:00 a. m. a 9:00 p. m., hora del este, de lunes a viernes.

Los destinatarios deberían revisar periódicamente sus informes de crédito, cuentas financieras, facturas de atención sanitaria y documentos de explicación de beneficios del seguro. Si el SSN o la información financiera se vieron afectados, podría ser conveniente solicitar un congelamiento del crédito, una alerta de fraude y un PIN de protección de la identidad del IRS. No comparta contraseñas, SSN, números de seguro ni códigos de verificación en respuesta a mensajes inesperados de quienes afirmen representar a Waveny.