Brecha de datos de ZenPatient de 2025

La principal evidencia es el aviso a los consumidores de ZenPatient, fechado el 17 de julio de 2026 y publicado a través del registro del fiscal general de California. La carta, emitida en nombre de la empresa, declara expresamente que se detectó actividad sospechosa y detalla el periodo de acceso no autorizado o copia, la revisión exhaustiva de los datos, el proceso de notificación, la comunicación a las autoridades federales encargadas de hacer cumplir la ley y los servicios de protección de la identidad ofrecidos.

Una comunicación a las autoridades reguladoras de Texas respalda la cifra de 1 179 residentes y las categorías de datos del incidente. Claim Depot vincula los registros de California y Texas y resume de forma independiente las fechas y el alcance del incidente, que incluía nombres, direcciones, fechas de nacimiento e información médica. Las fuentes coinciden en la organización, el periodo de acceso, el resultado de la revisión del 1 de julio y el inicio de las notificaciones el 17 de julio.

ZenPatient observó actividad sospechosa en su red alrededor del 27 de febrero. Una investigación con especialistas externos en ciberseguridad y privacidad de datos determinó que uno o más actores no autorizados accedieron a ciertos datos de ZenPatient o los copiaron entre el 5 de diciembre y el 12 de febrero. La carta oficial recoge ambas posibilidades y no afirma que se haya confirmado la copia de todos los datos.

La documentación pública no revela el método de acceso inicial, la identidad de los actores, la presencia de malware, una exigencia de rescate ni el motivo por el que el acceso terminó antes de su detección. Las cifras de personas, los campos de datos y las afirmaciones de actores de amenazas que no se han verificado no se consideran parte del alcance público del incidente.

El resumen del incidente basado en los registros regulatorios enumera nombres, direcciones y fechas de nacimiento entre los campos de datos personales afectados. El modelo de carta oficial muestra el nombre del destinatario como elemento fijo y otros campos en una sección variable específica para cada persona. Por tanto, no debe suponerse que la misma combinación de datos afectó a todas las personas.

Los nombres, las direcciones y las fechas de nacimiento pueden facilitar el phishing dirigido, la verificación fraudulenta de cuentas y la ingeniería social. Los números de la Seguridad Social, las licencias de conducir y otros documentos mencionados en el anexo sobre medidas de protección son ejemplos generales de lo que podría exigirse para un congelamiento de crédito, no campos confirmados del incidente.

Se confirmó que el posible alcance del incidente, que afectó a un proveedor de salud digital y telesalud, incluía información médica. Los datos médicos pueden revelar la vinculación de una persona con un proveedor de atención sanitaria y generar riesgos de uso indebido de su identidad médica, estafas dirigidas o deducciones sobre aspectos sensibles. Las fuentes públicas no afirman que el expediente de cada persona contuviera información médica.

La fuente no identifica por separado ningún diagnóstico, tratamiento, receta, resultado de laboratorio, consulta de telesalud, número de historia clínica, información de seguro médico, nombre de médico ni fecha de servicio. Por tanto, la categoría de información médica debe interpretarse con el grado de detalle publicado por las fuentes. Las personas que recibieron la notificación deben revisar los portales de salud y los estados de cuenta de sus proveedores de atención sanitaria para detectar servicios o cambios que no reconozcan.

El registro BR-0005188 del fiscal general de Texas informa de 15 750 personas afectadas en todo el país, entre ellas 1 179 residentes de Texas. Los aproximadamente 52 residentes de Rhode Island identificados en la carta a los consumidores forman parte de la cifra nacional y no se han sumado a ella.

ZenPatient declaró que, a la fecha de la carta, no tenía pruebas de ningún uso indebido ni intento de uso indebido de la información de ninguna persona como consecuencia del incidente. Esa conclusión, limitada a ese momento, no garantiza que no se produzca un uso indebido en el futuro. Dada la posible copia de datos y la inclusión de información médica en el alcance del incidente, las personas que recibieron la notificación deben seguir vigilando cualquier actividad inusual en sus cuentas financieras, de crédito y de atención sanitaria.

La empresa aseguró su entorno, realizó una investigación exhaustiva y una revisión de los datos con especialistas externos, notificó a las autoridades federales encargadas de hacer cumplir la ley y a los reguladores pertinentes, revisó las políticas existentes e implementó medidas adicionales de ciberseguridad. A las personas que cumplían los requisitos se les ofrecieron 12 meses gratuitos de monitoreo de crédito y protección contra el robo de identidad de Experian IdentityWorks, con plazo de inscripción hasta el 31 de octubre de 2026.

Las personas que recibieron la notificación deben inscribirse únicamente con el código de su carta y revisar sus informes de crédito y la actividad de sus cuentas de atención sanitaria para detectar transacciones, consultas o servicios que no reconozcan. La línea de ayuda 833-931-4343 está disponible de 8:00 a.m. a 8:00 p.m., hora central, de lunes a viernes. No se debe compartir información de salud, contraseñas ni códigos de verificación en mensajes inesperados que afirmen representar a ZenPatient.