Brecha de datos de Westminster Village Greenwood de 2025

La principal evidencia es la carta de Westminster Village Greenwood publicada en un expediente de notificación a consumidores de Massachusetts. La carta, emitida en nombre de la organización, describe directamente el acceso a la red, el trabajo con especialistas externos en ciberseguridad, el período durante el cual se podría haber accedido a los archivos o haberlos obtenido, el resultado de la revisión de datos del 23 de enero de 2026, la evaluación del posible uso indebido y el servicio de Experian.

Un expediente de la Fiscalía General de New Hampshire aporta documentación oficial independiente de la notificación a ese estado. Claim Depot vincula esos documentos y el aviso público de la organización, y publica de forma estructurada las categorías de datos afectados, el total actualizado de 14 386 personas y los subconjuntos por estado. Las fuentes coinciden en la organización, el período del incidente, el posible acceso a los archivos o su obtención y el alcance de los datos de identidad y salud.

Westminster Village Greenwood sufrió un acceso no autorizado a su red alrededor del 12 de febrero y abrió una investigación con profesionales externos de ciberseguridad. El equipo forense determinó que un actor no autorizado podría haber accedido a los datos o haberlos obtenido. A continuación, la organización contrató a un proveedor para realizar una revisión manual exhaustiva e identificar el contenido de los archivos potencialmente afectados y las personas a las que correspondían.

La extensa revisión forense y manual concluyó el 23 de enero de 2026 y determinó que se podría haber accedido a determinados archivos o haberlos obtenido sin autorización durante un período comprendido aproximadamente entre el 11 y el 17 de febrero de 2025. Las fuentes públicas no especifican el método de acceso inicial, la identidad del actor, el malware, una exigencia de rescate ni una publicación de los datos. Esta formulación condicional no permite concluir que todos los archivos se copiaran con certeza.

El alcance varía según la persona, pero puede incluir nombres completos, direcciones, fechas de nacimiento, números del Seguro Social, números de permisos de conducir y números de pasaporte. En conjunto, estos identificadores persistentes pueden facilitar la obtención fraudulenta de crédito, la suplantación de identidad con fines fiscales, el fraude documental y la ingeniería social dirigida. No debe suponerse que los archivos de cada persona afectada contenían todos estos campos.

Las fuentes también señalan que los nombres de usuario y las contraseñas podrían haberse visto afectados. Las personas que reciban la notificación deben sustituir las contraseñas reutilizadas o similares por credenciales únicas, activar la autenticación multifactor cuando esté disponible y revisar las sesiones activas. Si se vio afectado un SSN, puede ser conveniente solicitar bloqueos gratuitos del expediente de crédito en las tres principales agencias de crédito, una alerta de fraude y un PIN de protección de la identidad del IRS.

Los archivos afectados podían contener información de cuentas financieras. Esta categoría amplia puede facilitar fraudes relacionados con cuentas, el desvío fraudulento de pagos o ataques de phishing dirigidos a una persona que utilicen información precisa sobre su relación con una institución. Sin embargo, los documentos públicos no confirman por separado ningún nombre de banco, tipo de cuenta, número de ruta bancaria, tarjeta de pago, CVV, PIN, saldo ni historial de transacciones.

Las cifras de personas, los campos de datos y las afirmaciones de actores de amenazas que no se hayan verificado no se consideran parte del alcance público del incidente. Las personas que reciban la notificación deben revisar la actividad bancaria y crediticia para detectar transacciones desconocidas, nuevos beneficiarios o cambios en los datos de contacto. No deben facilitar códigos de un solo uso ni contraseñas durante llamadas inesperadas de quienes afirmen llamar de Westminster Village, Experian o un banco; deben devolver la llamada a través de un canal oficial obtenido de forma independiente.

La información de salud protegida incluía números de historias clínicas, diagnósticos médicos, información sobre tratamientos, medicamentos, resultados de laboratorio e información sobre seguros de salud. Esa combinación puede revelar la relación concreta de una persona con sus servicios de atención médica y detalles clínicos. Esto genera riesgos de suplantación de identidad médica, solicitudes fraudulentas de cobertura por servicios o estafas dirigidas a residentes y familiares que utilicen información auténtica sobre los tratamientos.

Las personas que reciban la notificación deben revisar los documentos de explicación de beneficios, los portales de pacientes y las cuentas con proveedores de atención médica para detectar servicios, recetas, resultados de laboratorio o cambios en los datos de contacto que no reconozcan. Las entradas sospechosas deben verificarse primero con el proveedor y la aseguradora. Como las fuentes públicas no indican que todas las personas tuvieran los mismos campos clínicos, las categorías de datos reflejan el posible alcance del incidente en su conjunto, mientras que las cartas individuales definen la exposición de cada persona.

El registro actualizado y vinculado a las fuentes informa de 14 386 personas afectadas en todo el país. Los seis residentes de Massachusetts y los tres residentes de New Hampshire son subconjuntos de esa cifra nacional y no se suman de nuevo. La carta de la organización afirma que, en el momento de la notificación, no disponía de pruebas de que la información se hubiera utilizado indebidamente para suplantar identidades o cometer fraude financiero. Esa evaluación, limitada a ese momento, no elimina el riesgo futuro.

Westminster Village investigó con especialistas externos, evaluó los controles internos y ofreció gratuitamente el servicio Experian IdentityWorks Credit 3B a las personas que reunían los requisitos. La carta describe la supervisión del crédito, la restauración de la identidad, la asistencia de ExtendCARE después del período de afiliación y un seguro sujeto a condiciones; la duración específica para cada persona y los códigos de inscripción figuran en las cartas individuales.