Otra filtración de un proveedor de salud revela que las transferencias son el verdadero punto débil

Las organizaciones de salud no sufren filtraciones porque se olvidan del cumplimiento. Sufren filtraciones porque los datos de los pacientes deben moverse —rápido— a través de un ecosistema enorme de EHR, portales de facturación, verificaciones de elegibilidad, referencias, sistemas de imágenes, aseguradoras, proveedores y socios. Los puntos débiles casi siempre están en las transferencias entre esos sistemas, no en las declaraciones de misión colgadas en la pared.

Eso es exactamente lo que Kiteworks está diseñado para resolver. Ofrece a los proveedores de salud y a sus socios comerciales un entorno reforzado y de confianza cero para intercambiar información de salud protegida. El cifrado robusto, los controles de acceso granulares, la autenticación multifactor y los registros de auditoría detallados te permiten demostrar quién accedió a qué, cuándo y por qué. Está hecho para el mundo real, donde la información de salud protegida sale del edificio todos los días.

Ahora, sobre la filtración.

Cinco conclusiones clave

1. Las filtraciones de proveedores son filtraciones de los prestadores de servicios. El incidente de TriZetto afectó a varias organizaciones de salud a través de un portal compartido, no por los sistemas internos de un solo proveedor. Si tu información de salud protegida pasa por el entorno de un tercero, su fallo de seguridad es tu obligación de notificación de filtración.
2. Once meses de acceso no detectado es un fallo de monitoreo, no mala suerte. El atacante tuvo acceso desde noviembre de 2024 hasta octubre de 2025 antes de que alguien lo notara. Ese tiempo de permanencia señala registros insuficientes, detección de anomalías débil y controles de acceso demasiado amplios para la sensibilidad de los datos involucrados.
3. Los datos de seguros y elegibilidad valen más de lo que la mayoría de las organizaciones cree. Números de Seguro Social, IDs de miembros, nombres de aseguradoras y detalles de proveedores alimentan el fraude de identidad médica, reclamaciones falsas y ataques de phishing dirigidos. A diferencia de las tarjetas de crédito, estos identificadores no se pueden cancelar o cambiar rápidamente.
4. El reloj de notificación de filtraciones de HIPAA no espera respuestas perfectas. Las entidades cubiertas y los socios comerciales enfrentan plazos estrictos una vez que se descubre una filtración, con notificaciones individuales y reportes a HHS requeridos sin demoras irrazonables. Si los flujos de trabajo de notificación fallan, se suma exposición regulatoria al propio incidente.
5. El intercambio seguro de datos es la brecha que la mayoría de las organizaciones de salud aún no ha cerrado. Los firewalls y la protección de endpoints reciben presupuesto y atención, pero la información de salud protegida que se mueve por correo electrónico, portales, transferencias de archivos y transferencias con proveedores sigue siendo la superficie de ataque más común. Esa capa de intercambio necesita cifrado dedicado, controles de acceso, registros de auditoría y una arquitectura de confianza cero.

Lo que reportó Terry Reilly Health Services

Terry Reilly Health Services, un proveedor de salud con sede en Idaho, está notificando a ciertos pacientes sobre un incidente de seguridad de datos que pudo haber expuesto información personal. Las personas afectadas recibirán cartas de notificación por correo, y la organización ofrece servicios de monitoreo de identidad y crédito sin costo.

El incidente se remonta a TriZetto Provider Solutions, un proveedor externo conectado a OCHIN, el proveedor de registros médicos electrónicos que utiliza Terry Reilly Health Services. Se involucraron expertos en ciberseguridad y fuerzas del orden. TriZetto afirma que contuvo y eliminó la amenaza y desde entonces ha reforzado los controles de seguridad.

Si eres paciente y te preguntas si tu expediente médico terminó publicado en algún sitio online, eso no es lo que se describe aquí. Las notificaciones se centran en identificadores personales y datos relacionados con seguros, no en información de tarjetas de pago.

Qué información pudo haber sido expuesta

Los tipos de datos reportados en esta filtración son justo los que atraen la atención de los delincuentes, porque son útiles de inmediato.

La información expuesta puede incluir nombres, direcciones, fechas de nacimiento, números de Seguro Social, números de miembro de cobertura médica, nombres de aseguradoras de salud, nombres de proveedores y otros datos demográficos, de salud y de seguros médicos. Según los reportes, no se comprometieron datos financieros como tarjetas de pago o números de cuentas bancarias.

Aquí está el detalle que la mayoría pasa por alto: esa combinación es más peligrosa que una tarjeta de crédito robada. Una tarjeta de crédito se puede cancelar en cinco minutos. ¿Un número de Seguro Social junto con identificadores de seguro y el nombre de un proveedor? Es la llave maestra para el fraude de identidad médica. Se puede usar para presentar reclamaciones falsas, cometer fraude de recetas y crear mensajes de phishing tan convincentes que mencionan a tu médico y aseguradora reales por su nombre. Suerte «cancelando» tu fecha de nacimiento.

Parece un incidente de proveedor más amplio, no un caso aislado

Los detalles públicos no apuntan a una intrusión en la red interna de un solo proveedor. Apuntan a una filtración que involucra a TriZetto Provider Solutions y organizaciones en todo el ecosistema de OCHIN.

HIPAA Journal informa que se identificó actividad sospechosa en un portal web utilizado por algunos clientes de salud para acceder a los sistemas de TriZetto. La investigación forense determinó que el acceso no autorizado a reportes históricos de transacciones de elegibilidad comenzó en noviembre de 2024 y no se detectó hasta octubre de 2025.

Un aviso aparte del San Francisco Community Health Center describe el incidente como acceso no autorizado a ciertos sistemas de TriZetto y reportes históricos de elegibilidad en un portal usado para verificación de elegibilidad en tiempo real. Los sistemas propios del centro de salud no fueron accedidos directamente.

Esa distinción —»se accedió a sus sistemas, no a los nuestros»— es técnicamente correcta. Pero no consuela a los pacientes cuyos datos estaban en ese portal.

Por qué un incidente de proveedor termina siendo tu filtración de todas formas

La salud funciona con proveedores. Proveedores de EHR. Clearinghouses. Portales. Servicios de elegibilidad. Facturación externalizada. Plataformas de interacción con pacientes. Cada integración que agiliza la atención también amplía el radio de impacto cuando algo sale mal.

HIPAA Journal describe a TriZetto como un subcontratista utilizado por OCHIN en algunos casos y señala que el incidente muestra hasta dónde puede llegar el daño cuando un socio comercial —o uno de sus proveedores— es afectado.

Las cartas a pacientes presentadas ante reguladores cuentan la misma historia, describiendo a TriZetto como un proveedor de clearinghouse conectado al entorno Epic de OCHIN y explicando que la exposición de datos ocurrió en la red de TriZetto, no en los sistemas propios del proveedor.

En términos simples: puedes hacer todo bien dentro de tus propias paredes y aun así terminar enviando cartas de filtración porque uno de tus caminos críticos de datos pasó por el portal de otro. Bienvenido a la TI de la salud moderna.

La cronología revela una verdad incómoda sobre el tiempo de permanencia

El detalle más inquietante de cualquier filtración suele no ser lo que se llevaron. Es cuánto tiempo estuvo el atacante dentro antes de que alguien notara la puerta abierta.

Una carta a pacientes presentada ante la oficina del Fiscal General de California indica que TriZetto descubrió el acceso no autorizado el 2 de octubre de 2025, y que el acceso había comenzado alrededor de noviembre de 2024.

Otra carta escaneada describe que TriZetto se percató de actividad sospechosa en un portal web el 2 de octubre de 2025, indicando que una persona no autorizada había estado accediendo a ciertos registros desde noviembre de 2024.

HIPAA Journal reporta la misma ventana: de noviembre de 2024 a octubre de 2025.

Son aproximadamente once meses. No once horas. No once días. Once meses de un atacante explorando, aprendiendo el entorno, entendiendo qué se almacena dónde y extrayendo lo que quiere a su propio ritmo. No fue un evento de ransomware rápido. Fue alguien instalándose con calma y accediendo a los archivos a su antojo.

Por qué los datos de elegibilidad y seguros son un tesoro

Los reportes de elegibilidad y los identificadores de seguros suenan aburridos. Parecen papeleo. Pero vistos desde los ojos de un atacante, la perspectiva cambia rápido.

Son identificadores persistentes ligados directamente al acceso a la salud. Permiten suplantar ante aseguradoras. Hacen posible la ingeniería social convincente, especialmente cuando el atacante conoce el nombre del proveedor y la aseguradora. Las contraseñas se pueden restablecer. Las tarjetas de crédito se pueden reemplazar. Pero no puedes cambiar tu fecha de nacimiento, tu número de Seguro Social o tu ID de miembro de seguro —al menos no sin un proceso burocrático que la mayoría nunca intentará.

El aviso del San Francisco Community Health Center enumera los tipos de información potencialmente involucrados: nombre del paciente, dirección, fecha de nacimiento, número de Seguro Social, números de miembro de seguro y datos de la compañía de seguros.

Eso coincide con lo que los reportes locales dicen que pudieron haber tenido expuesto los pacientes de Terry Reilly Health Services.

Las reglas de notificación de filtraciones de HIPAA hacen que la velocidad sea innegociable

Cuando se expone información de salud protegida, las organizaciones de salud no pueden darse el lujo de esperar a tener el panorama perfecto antes de comunicarse.

La guía de HHS sobre la Regla de Notificación de Filtraciones de HIPAA deja claro que las entidades cubiertas deben notificar a los afectados y, en filtraciones grandes, al Secretario de HHS. Los plazos dependen de la fecha de descubrimiento, con notificaciones requeridas «sin demoras irrazonables» y no más allá de 60 días en escenarios clave.

El marco de notificación de filtraciones de HITECH también establece que los socios comerciales deben notificar a la entidad cubierta cuando ocurre una filtración en o por parte del socio comercial.

Por eso historias como esta siguen un patrón predecible: cartas de notificación, coordinación con reguladores, intervención de las autoridades y servicios de monitoreo. No es teatro. Es el reloj del cumplimiento avanzando, y hay sanciones reales para las organizaciones que tratan los plazos como sugerencias.

Qué deben hacer los pacientes afectados ahora mismo

Las cartas de filtración generan estrés en parte porque, por necesidad, son vagas. Pero hay pasos prácticos que reducen tu riesgo si los tomas rápido.

Considera una alerta de fraude o congelamiento de crédito. Una alerta de fraude marca tu historial crediticio para que los prestamistas tomen medidas adicionales antes de abrir nuevas cuentas. Un congelamiento de crédito va más allá: bloquea la apertura de crédito hasta que lo levantes. Ambas opciones inician contactando a una de las tres principales agencias de crédito.

Revisa de cerca la actividad de tu seguro de salud. Busca reclamaciones desconocidas, servicios que no recibiste o explicaciones de beneficios que no coincidan con tu experiencia. El aviso del San Francisco Community Health Center sobre el incidente de TriZetto recomienda específicamente revisar los estados de seguro de salud y EOB, y contactar a tu plan de salud si algo no cuadra.

Si ves señales de robo de identidad, actúa rápido. IdentityTheft.gov te guía paso a paso para documentar y recuperar tu identidad.

Desconfía de cualquiera que use esta filtración como excusa para contactarte. Esta es la parte que la gente subestima. A los atacantes les encanta «dar seguimiento» a una filtración con llamadas falsas, enlaces falsos de inscripción a monitoreo o mensajes de «verificación» diseñados para recolectar más datos. Si tienes dudas, usa el teléfono o proceso que aparece en la carta oficial enviada por correo —nunca el mensaje que te llegó de forma inesperada.

Qué deben aprender los equipos de seguridad de salud de esta filtración

Este incidente refuerza tres verdades que los equipos de seguridad ya conocen, pero no siempre aplican.

Primero, el riesgo de terceros es un problema de arquitectura, no un ejercicio de hojas de cálculo. Si tu intercambio de información de salud protegida depende de portales externos que no controlas, necesitas controles compensatorios y segmentación fuerte para que un incidente de proveedor no se convierta en una crisis para todo el prestador. Enviar un cuestionario una vez al año no es un programa de seguridad. Es un sistema de archivo.

Segundo, el principio de menor privilegio no es opcional. Si un sistema almacena reportes históricos de elegibilidad de años atrás, trátalo como una bóveda. Restringe quién puede acceder, desde dónde y bajo qué condiciones. Monitorea los patrones de acceso y detecta anomalías antes de que se conviertan en once meses de permanencia. El atacante en este caso no necesitó ser sofisticado. Solo necesitó un acceso demasiado amplio y monitoreo demasiado lento.

Tercero, la respuesta a incidentes necesita ensayos, no manuales. Los flujos de notificación, la comunicación con pacientes, la coordinación con reguladores y la preservación de evidencia son habilidades operativas que se oxidan rápido sin práctica. Un ejercicio de simulacro trimestral cuesta unas horas. Una respuesta fallida a una filtración cuesta millones y carreras.

La visión general de la Regla de Seguridad de HIPAA de HHS deja claro que las entidades reguladas deben implementar salvaguardas administrativas, físicas y técnicas para proteger la información de salud electrónica.

Esa es la vara. «Tenemos un EHR» no es suficiente.

La segmentación de red importa —pero no como la implementa la mayoría

Muchas redes de salud tienen segmentación solo de nombre. Unos cuantos VLAN, reglas de firewall que nadie quiere tocar y un sistema de identidad compartido que convierte una credencial comprometida en la llave maestra para todo.

La segmentación real debe seguir los datos, no el organigrama. El objetivo práctico es separar las operaciones clínicas de los sistemas administrativos y aislar los canales de intercambio de información de salud protegida de las herramientas de colaboración general. Eso limita el movimiento lateral y reduce el impacto cuando un proveedor, una cuenta de usuario o una sola aplicación se ve comprometida.

Esta historia de filtración encaja perfectamente en la categoría de «comunicaciones de datos sensibles» —no en la de explotación de dispositivos junto a la cama. Es la parte de la seguridad en salud que a menudo se descarta como «solo correo electrónico» y «solo uso compartido de archivos» hasta que un portal de proveedor le da a un atacante casi un año para revisar registros históricos sin ser detectado.

Cómo Kiteworks protege los datos de pacientes en flujos de trabajo reales

La salud no necesita otra herramienta que prometa seguridad en una diapositiva. Necesita una forma segura de mover información de salud protegida entre personas, máquinas y sistemas —sin empujar al personal a soluciones riesgosas como correos personales y enlaces de uso compartido de archivos de consumo.

Kiteworks está diseñado para esa capa de intercambio. Su solución para salud proporciona un intercambio de datos de confianza cero con cifrado TLS 1.3 para datos en tránsito y cifrado AES-256 para datos en reposo, además de controles de acceso, MFA, integraciones DLP e implementación en un dispositivo virtual reforzado. Los registros de auditoría detallados cubren todos los canales: correo electrónico seguro, transferencia segura de archivos administrada y formularios web seguros.

Para flujos de trabajo específicos de HIPAA, Kiteworks ofrece cifrado automatizado de extremo a extremo, controles de acceso granulares, un dispositivo virtual reforzado y registros de auditoría integrales para proteger la información de salud protegida tanto en tránsito como en reposo.

Esa combinación responde directamente a las salvaguardas técnicas que se espera que los equipos de salud implementen —y resuelve los mismos puntos débiles que las filtraciones siguen exponiendo año tras año.

Intercambio seguro de información de salud protegida sin el problema de «por favor no envíes eso por correo»

Referencias. Autorizaciones previas. Imágenes. Coordinación de atención. Comunicaciones con aseguradoras. Cada uno de estos flujos genera información de salud protegida que debe salir del entorno central de EHR. La pregunta es si sale por un canal controlado y cifrado o por el Gmail de alguien.

Kiteworks ofrece correo electrónico seguro, MFT seguro y canales relacionados que gestionan archivos grandes, aplican cifrado y controles de acceso, y mantienen un registro completo de quién compartió qué y con quién.

El resultado práctico: el personal puede seguir trabajando rápido sin recurrir a enlaces de uso compartido de archivos de consumo ni reenviar documentos a cuentas personales «solo por esta vez». Ese «solo por esta vez» es como empiezan la mayoría de las filtraciones de datos.

Menor privilegio que se puede aplicar, no solo solicitar

Un tema recurrente en las filtraciones de salud es el acceso no autorizado que no debería haber sido posible —o que debió haber activado alertas mucho antes.

Kiteworks prioriza los controles de acceso, MFA, gestión centralizada de accesos de usuarios, controles de permisos y monitoreo de actividad en sus soluciones para salud y HIPAA.

Así es como conviertes el menor privilegio de una aspiración a algo medible: roles definidos, condiciones aplicadas y registros que cuentan la historia cuando importa.

Preparación para auditorías que respalda investigaciones y revisiones regulatorias

Cuando un incidente de proveedor se convierte en tu incidente, necesitas evidencia. No suposiciones. No «creemos». Evidencia. Quién accedió a la información de salud protegida. Qué accedió. Qué se compartió externamente. Qué socios la recibieron. Si puedes demostrar contención.

Kiteworks proporciona registros de auditoría detallados en todos los canales para casos de uso en salud, con registros inmutables y unificado que respaldan tanto las obligaciones de cumplimiento como las necesidades forenses.

En un entorno de filtración, esa es la diferencia entre «creemos que lo contuvimos» y «aquí está la prueba».

Alineación de socios comerciales y acuerdos BAA

Las organizaciones de salud necesitan claridad contractual y operativa con cada proveedor que maneja información de salud protegida.

Kiteworks firma un Acuerdo de Socio Comercial con sus socios de salud, presentando esto como un elemento fundamental del cumplimiento de HIPAA.

Los contratos no detienen filtraciones. Pero determinan cuán rápido pueden coordinarse los equipos cuando ocurre una, qué obligaciones se activan cuando el reloj empieza a correr y quién responde cuando los reguladores hacen preguntas.

Lista de acciones prácticas para líderes de salud

Si trabajas en seguridad de la salud, no necesitas motivación. Necesitas un plan que sobreviva al lunes por la mañana.

1. Mapea cada vía de salida de información de salud protegida. No las teóricas —las reales. Correo electrónico, portales, referencias, imágenes, aseguradoras, proveedores y esos flujos «temporales» que se volvieron permanentes hace dos años y nadie quiere mencionar.
2. Reduce la cantidad de herramientas que pueden mover información de salud protegida. Cada canal adicional es otra excepción de política esperando ocurrir y otra superficie de ataque que debes monitorear.
3. Delimita el intercambio de información de salud protegida. Pon las comunicaciones sensibles en un entorno dedicado con cifrado fuerte, control de acceso estricto y registros de auditoría completos. El patrón de filtraciones en salud es claro y constante: las grietas siempre están en las transferencias.
4. Aplica menor privilegio y MFA en todos los lugares donde aparece información de salud protegida. Presta especial atención a portales web y sistemas tipo clearinghouse donde reportes históricos se acumulan durante años, creando almacenes de datos que nadie vigila activamente.
5. Practica la respuesta a incidentes como las operaciones clínicas. Porque lo es. Notificación de filtraciones, comunicación con pacientes, coordinación con reguladores, preservación de evidencia y escalamiento con proveedores deben ensayarse hasta que sean rutina. Si tu último simulacro fue «alguna vez el año pasado», ha pasado demasiado tiempo.

Y mantén los plazos de cumplimiento siempre presentes. HHS es claro sobre las expectativas de notificación y las consecuencias de reportar tarde cuando hay filtraciones de información de salud protegida no asegurada.

¿Qué sigue?

Terry Reilly Health Services afirma que los pacientes afectados serán notificados por correo y se les ofrecerán servicios de monitoreo, con Kroll mencionado como proveedor en reportes locales.

El reporte más amplio del incidente de TriZetto indica que fue un problema en el portal de un proveedor que involucró reportes históricos de transacciones de elegibilidad, con una cronología que se remonta a finales de 2024 antes de ser detectado en 2025.

Aunque nunca hayas tenido contacto con Terry Reilly Health Services, la lección aquí aplica para todo proveedor de salud, cada socio comercial y cada paciente del país.

Tu EHR no es todo el campo de batalla. El campo de batalla es cada lugar donde la información de salud protegida se mueve después de salir de la pantalla —cada portal, cada transferencia con proveedores, cada verificación de elegibilidad, cada transferencia de archivos. Ahí es donde atacan los delincuentes, y ahí es donde las organizaciones de salud deben dejar de esperar y empezar a construir defensas reales.

Kiteworks está diseñado para esa capa: intercambio cifrado de información de salud protegida, protección de datos de confianza cero y evidencia lista para auditoría en todos los canales que usan los equipos de salud cada día.

Para saber cómo Kiteworks puede ayudarte, agenda una demo personalizada hoy mismo.

Recursos adicionales

• Artículo del Blog Arquitectura Zero Trust: Nunca confíes, siempre verifica
• Video Microsoft GCC High: Desventajas que llevan a los contratistas de defensa a buscar ventajas más inteligentes
• Artículo del Blog Cómo proteger datos clasificados una vez que DSPM los detecta
• Artículo del Blog Generar confianza en la IA generativa con un enfoque Zero Trust
• Video La guía definitiva para el almacenamiento seguro de datos sensibles para líderes de TI