HARTFORD, Connecticut, 7 de noviembre de 2026. La información personal y médica de 107,960 residentes de Connecticut quedó expuesta en un ataque informático que afectó a empresas de procesamiento de datos de salud y alcanzó a más de 13.3 millones de personas en Estados Unidos. El caso terminó en un acuerdo multistatal que exige reforzar las medidas de seguridad y contempla sanciones económicas de hasta 10 millones de dólares.
El fiscal general de Connecticut, William Tong, anunció el viernes el acuerdo con compañías del grupo Perry Johnson, entre ellas Perry Johnson & Associates (PJ&A), que ofrecía servicios de codificación, facturación y transcripción a organizaciones médicas.
Qué información quedó expuesta
Los archivos comprometidos contenían nombres, fechas de nacimiento, domicilios, números de Seguro Social, números de cuentas hospitalarias e información de seguros. También incluían diagnósticos y datos clínicos, como resultados de pruebas, nombres de medicamentos y registros médicos transcritos.
La intrusión comenzó en marzo de 2023, cuando atacantes accedieron a los sistemas de PJ&A mediante las credenciales de un empleado. En ese momento, la empresa no exigía autenticación multifactor para el acceso remoto. Los intrusos consiguieron contraseñas y accedieron a archivos que no estaban cifrados.
Aunque el software registró parte de la actividad, su configuración no enviaba las alertas necesarias al personal encargado de la seguridad. La compañía descubrió el ataque unos dos meses después, cuando los propios intrusos se comunicaron con ella.
Un acuerdo con sanciones de hasta $10 millones
Como parte del acuerdo anunciado por los fiscales generales de Connecticut, Michigan y Nueva Jersey, las empresas deberán pagar al menos $300,000 en sanciones. Otros $9.7 millones serían exigibles si incumplen las condiciones pactadas. Connecticut recibirá $66,666 en penalidades y costos.
Las compañías que continúen manejando información médica protegida deberán mantener programas formales de seguridad, controles de contraseñas, autenticación multifactor, cifrado, evaluaciones anuales de riesgos y reglas para conservar y eliminar adecuadamente los datos.
El acuerdo responde a la exposición de información que ocurrió en 2023; el anuncio de noviembre de 2026 no corresponde a un nuevo ataque.
Imagen referencial.