Por Canuto  

Una clave de acceso que SquareML publicó en un sitio web abierto pudo permitir consultar datos de salud de 238.083 afiliados actuales y anteriores de Denver Health Medical Plan. El plan afirma que el acceso era de solo lectura y que no ha encontrado pruebas de uso indebido.
***

  • La clave estuvo publicada desde el 27 de junio de 2025 hasta que fue desactivada el 18 de agosto de 2026.
  • La base incluía datos personales y métricas de salud, aunque el plan dijo que no contenía números del Seguro Social ni información financiera.
  • Denver Health Medical Plan notificó a las personas afectadas y dijo que evalúa medidas correctivas con SquareML.

Una clave pública pudo dejar expuestos datos de salud de 238.083 afiliados de Denver Health

Denver Health Medical Plan informó que una falla vinculada con su proveedor de análisis de atención médica SquareML pudo dejar expuesta información de 238.083 miembros actuales y anteriores. Según el reporte de Hoodline, el incidente comenzó cuando una clave de acceso activa apareció en un sitio web de acceso público y permaneció allí durante casi 14 meses antes de que el problema fuera detectado.

La información potencialmente accesible abarcaba datos de identificación, fechas de nacimiento y registros relacionados con atención médica, entre ellos métricas como el índice de masa corporal, HbA1c y eGFR. El plan sostuvo que la cuenta afectada permitía únicamente consultar la base de datos y que, hasta la fecha de su aviso, no había encontrado indicios de que alguien utilizara la clave de manera indebida.

Una clave expuesta durante casi 14 meses

De acuerdo con la cronología divulgada, SquareML incorporó la clave al sitio público el 27 de junio de 2025. La credencial siguió activa hasta que Denver Health Medical Plan supo, el 14 de agosto de 2026, que había sido descubierta en ese espacio abierto, un lapso que el informe describe como cercano a 14 meses.

El plan desactivó la clave cuatro días después, el 18 de agosto de 2026. Esa medida cerró la posibilidad de acceso mediante la credencial expuesta, aunque el periodo anterior explica por qué la organización tuvo que evaluar qué datos podían consultarse y notificar a los miembros cuya información figuraba en la base.

El incidente no se atribuye a una intrusión confirmada en los sistemas del plan, sino a la publicación accidental de una clave activa por parte de un proveedor que trabajaba con datos de atención médica. La divulgación describe una posibilidad de acceso por una credencial expuesta, pero no afirma que se haya comprobado que un tercero entró en la base.

Denver Health Medical Plan publicó un aviso sobre el incidente el 1 de octubre de 2026. La organización afirmó que no había identificado evidencia de uso indebido de la clave; esa declaración no equivale a confirmar que ningún dato fuera consultado durante el periodo de exposición.

Qué información pudo quedar a la vista

La base de datos podía contener nombres completos, ciudades, estados, códigos postales, información demográfica y fechas de nacimiento de miembros actuales y anteriores. Aunque esos elementos no son números de cuenta financiera, en conjunto identifican a personas y pueden revelar datos sensibles sobre su afiliación a un plan de salud.

Entre los registros relacionados con la atención médica figuraban nombres de proveedores y datos sobre admisiones, altas y traslados hospitalarios. También había información de elegibilidad para el plan, es decir, registros que podían vincular a una persona con su cobertura y con distintos aspectos de su atención.

La base incluía además métricas de salud como IMC, HbA1c y eGFR. Son indicadores que pueden asociarse con características y condiciones de salud, por lo que su posible exposición plantea un riesgo de privacidad distinto al de divulgar únicamente datos generales de contacto, incluso si el plan no ha confirmado que alguien consultara esos registros.

Denver Health Medical Plan señaló que la información financiera y los números del Seguro Social no quedaron expuestos, de acuerdo con las divulgaciones citadas en el reporte. Esa precisión limita el tipo de datos comprometidos que describe el incidente, pero no elimina la sensibilidad de los detalles demográficos, hospitalarios y clínicos que sí podían estar en la base.

Alcance del acceso y riesgos de privacidad

Según el informe de HIPAA Journal, la cuenta asociada con la clave comprometida tenía permisos de solo lectura. En los términos descritos por el plan, quien hubiera tenido la credencial podía ver información, pero no descargarla, exportarla, eliminarla ni modificarla desde esa cuenta.

El alcance de solo lectura limitaba las acciones que permitía la credencial, pero no significa que los datos fueran inaccesibles. La posibilidad de consultar registros médicos y datos de identidad sigue siendo relevante para la privacidad, y por eso la evaluación del incidente considera tanto la configuración de permisos como el periodo en que la clave permaneció disponible.

Al mismo tiempo, el reporte no confirma que una persona no autorizada haya aprovechado el acceso potencial ni que los registros hayan circulado fuera de la base. Denver Health Medical Plan dijo que no ha identificado evidencia de uso indebido, una declaración que debe distinguirse de una garantía de que ningún dato fue visto durante el periodo de exposición.

El episodio también pone de relieve la importancia de gestionar credenciales de proveedores que trabajan con información protegida. En este caso, el origen que describe la noticia fue una clave activa publicada accidentalmente en un sitio abierto; la respuesta informada incluyó desactivarla y revisar con SquareML posibles medidas correctivas adicionales.

Avisos a los afiliados y pasos siguientes

Denver Health Medical Plan publicó un aviso del incidente en su sitio web y dijo que notifica a las personas cuya información pudo verse comprometida. El plan también envió cartas por correo con detalles sobre lo sucedido y medidas de protección que los destinatarios pueden considerar.

Quienes tengan preguntas o necesiten consultar el aviso sustituto pueden comunicarse con la línea telefónica habilitada para el incidente, en el 1-888-766-0023. La organización indicó además que evalúa con SquareML acciones correctivas adicionales, aunque la información publicada no detalla cuáles serían ni cuándo se aplicarían.

La noticia señala que la ley de notificación de violaciones de datos de Colorado exige avisar a los consumidores del estado cuando su información personal pudo quedar comprometida. En términos generales, el plazo citado es de 30 días desde que la entidad determina que ocurrió una brecha capaz de dar lugar a un uso indebido, conforme a la guía de la fiscal generalía estatal mencionada en el reporte.

Por separado, la Oficina federal de Derechos Civiles investiga las brechas de información de salud protegida que afectan a 500 o más personas, según la guía de su portal de incidentes. Con 238.083 miembros potencialmente involucrados, este caso supera ampliamente ese umbral, mientras las notificaciones y la evaluación de medidas con SquareML forman parte de los próximos pasos descritos por el plan.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados