REDACCION KLKNEWYORK.COM

La fiscal general Letitia James anunció un acuerdo con varias empresas de servicios tecnológicos de salud tras una filtración de información confidencial que afectó a más de 13.3 millones de personas en Estados Unidos. Entre los datos comprometidos figuran números de Seguro Social, diagnósticos médicos e información de seguros de salud.

NUEVA YORK. — La fiscal general del estado de Nueva York, Letitia James, anunció el viernes 6 de noviembre de 2026 un acuerdo de hasta 10 millones de dólares con un grupo de empresas vinculadas a Perry Johnson & Associates, después de una investigación que reveló graves deficiencias de seguridad informática que permitieron el acceso de piratas informáticos a millones de expedientes médicos.

De acuerdo con el comunicado oficial de la Fiscalía General, el incidente de seguridad ocurrió en marzo de 2023 y afectó los datos personales de aproximadamente 13.3 millones de personas en Estados Unidos, incluidos 4.2 millones de residentes de Nueva York.

La investigación fue desarrollada conjuntamente por las fiscalías generales de Nueva York, Nueva Jersey, Connecticut y Michigan.

¿Qué información de los pacientes quedó expuesta?

Las autoridades determinaron que los archivos comprometidos contenían información personal y médica confidencial, entre ella:

• Nombres completos y fechas de nacimiento.
• Direcciones de residencia.
• Números de Seguro Social.
• Números de cuentas hospitalarias.
• Diagnósticos y resultados de pruebas médicas.
• Información de seguros de salud.
• Nombres de medicamentos y otros datos clínicos.

La exposición de estos registros representa un riesgo potencial de robo de identidad, fraudes financieros y utilización indebida de información médica.

No significa, sin embargo, que todos los pacientes afectados hayan sido víctimas de fraude.

¿Cómo lograron los piratas informáticos entrar al sistema?

La investigación de la Fiscalía estableció que, en marzo de 2023, los atacantes consiguieron ingresar a los sistemas informáticos de Perry Johnson & Associates utilizando las credenciales de acceso de un empleado de una de sus compañías.

En ese momento, la empresa no exigía autenticación multifactor para acceder de manera remota a sus plataformas.

Esta medida de seguridad requiere una verificación adicional, además de la contraseña, para confirmar la identidad de quien intenta acceder a una cuenta.

Durante los meses siguientes, los intrusos lograron recopilar contraseñas y acceder a archivos sin cifrar que contenían información personal y expedientes médicos.

Uno de los hallazgos más preocupantes fue que el sistema de seguridad había registrado actividades sospechosas, pero no estaba configurado correctamente para enviar alertas a los responsables de proteger la información.

Según la Fiscalía, la compañía no tuvo conocimiento del acceso no autorizado hasta que los propios atacantes se comunicaron con ella aproximadamente dos meses después.

Nueva York y Nueva Jersey entre los estados afectados

En Nueva York, alrededor de 4.2 millones de personas tuvieron información comprometida.

La fiscal general Letitia James había emitido una alerta en noviembre de 2023 para advertir sobre posibles robos de identidad relacionados con esta misma filtración.

En aquella ocasión, las autoridades señalaron que pacientes de Northwell Health y Crouse Health, instituciones con operaciones en Nueva York y Syracuse, se encontraban entre los afectados.

Por su parte, la Fiscalía General de Nueva Jersey informó que cerca de 540,000 residentes de ese estado también resultaron afectados por el incidente.

Las empresas investigadas proporcionaban servicios tecnológicos, de facturación, codificación y transcripción médica a hospitales y otras organizaciones de salud.

¿Las empresas pagarán realmente 10 millones de dólares?

El acuerdo contempla una responsabilidad económica de hasta 10 millones de dólares, aunque el pago total está condicionado al cumplimiento de sus disposiciones.

Según la Fiscalía, las compañías deberán pagar inicialmente un mínimo de 300,000 dólares en sanciones y costos a los estados participantes.

Nueva York recibirá al menos 100,000 dólares.

Los restantes 9.7 millones de dólares permanecerán suspendidos, pero podrán ser exigidos si las empresas incumplen los términos del acuerdo.

Por lo tanto, no se trata de un pago inmediato de 10 millones de dólares ni de una compensación directa de esa cantidad para los pacientes afectados.

Fiscalías ordenan reforzar la protección de los expedientes médicos

Como parte del acuerdo, las compañías Perry Johnson que continúen administrando información médica protegida deberán adoptar medidas obligatorias de seguridad informática.

Entre ellas se encuentran sistemas de autenticación multifactor, protocolos de respuesta ante incidentes, cifrado de información, evaluaciones anuales de riesgos y nuevas políticas para conservar y eliminar datos personales.

Las empresas también deberán mantener procedimientos adecuados para prevenir futuros accesos no autorizados y cumplir con las normas federales de protección de información médica establecidas bajo HIPAA.

La fiscal general Letitia James sostuvo que las compañías que reciben información médica privada tienen la responsabilidad de protegerla rigurosamente.

La funcionaria indicó que las fallas detectadas permitieron comprometer información confidencial de millones de pacientes y que el acuerdo busca evitar incidentes similares.

¿Qué deben hacer los pacientes que creen haber sido afectados?

La Fiscalía General de Nueva York recomienda a las personas que recibieron notificaciones relacionadas con esta filtración adoptar medidas para proteger su identidad y sus datos médicos.

Entre las principales recomendaciones se encuentran revisar los informes de crédito para identificar cuentas desconocidas, considerar el congelamiento gratuito del historial crediticio y examinar los documentos de facturación médica.

También se recomienda verificar los expedientes clínicos para detectar tratamientos, medicamentos o consultas que el paciente no reconozca.

Las personas que sospechen que alguien ha utilizado indebidamente su información deben comunicarse con su aseguradora, sus proveedores médicos y las autoridades correspondientes.

Para casos de posible robo de identidad pueden utilizar el portal federal IdentityTheft.gov, de la Comisión Federal de Comercio (FTC).

Un caso que comenzó en 2023 y concluye con nuevas obligaciones en 2026

Aunque el anuncio de la Fiscalía fue realizado el 6 de noviembre de 2026, la filtración de datos investigada ocurrió durante 2023.

El nuevo acuerdo no constituye el anuncio de otro ataque informático, sino el resultado de las investigaciones realizadas por las autoridades estatales sobre las fallas de seguridad detectadas.

La resolución representa una nueva medida de las fiscalías estatales para exigir mayor responsabilidad a las empresas tecnológicas que manejan información médica confidencial.

Para millones de residentes de Nueva York y Nueva Jersey, el caso también sirve como recordatorio de la importancia de vigilar la utilización de sus datos personales, incluso años después de una filtración informática.

KLK NEW YORK — Tu voz. Tu idioma. Tu comunidad.