Un proveedor que archiva el expediente electrónico que usted dio de baja sufrió una brecha — al menos siete centros de salud están afectados, y su propia lista de clientes está comprobadamente incompleta

Aesto Health migra y archiva datos de pacientes cuando un centro de salud reemplaza su expediente electrónico. Su aviso indica que el incidente ocurrió entre aproximadamente el 2 y el 18 de diciembre de 2025, se confirmó el 26 de mayo de 2026, se publicó el 24 de junio y la notificación a clientes comenzó el 26 de junio, con avisos individuales desde el 21 de agosto.

Los datos incluyen nombres, fechas de nacimiento, información médica, licencias de conducir, cuentas financieras, información de seguro de salud, identificaciones fiscales y gubernamentales, y números de Seguro Social para un subconjunto limitado. ALCANCE EN FQHC, leído en la propia página de entidades cubiertas de Aesto (marcada "Updated: 9-3-2026"): seis centros de salud nombrados — Midtown Community Health Center (UT), Monroe Health Center (WV), Marana Health / MHC Healthcare (AZ), Park West Health Systems (MD), Sterling Health Solutions (KY) y Shenandoah Valley Medical System (WV). 🔑 PERO ESA LISTA NO ESTÁ COMPLETA: Kaniksu Community Health, un FQHC de Idaho, no aparece en la página de Aesto, y sin embargo su propia carta de notificación presentada ante el Fiscal General de California dice que Kaniksu se enteró de un incidente de datos que involucra a Aesto, LLC, un proveedor de servicios de gestión de datos de salud.

El conteo real es de al menos siete, y ningún centro debe interpretar su ausencia de la lista del proveedor como prueba de no haber sido afectado. POR QUÉ ESTE CASO ES DISTINTO: el negocio de Aesto es conservar el sistema que usted retiró, así que los datos expuestos suelen estar donde TI ya no los cuenta como activos y pueden quedar fuera del análisis de riesgos vigente de la Regla de Seguridad.

Todo centro que haya cambiado de expediente electrónico debería preguntar esta semana quién conserva su archivo heredado, si hay un acuerdo de asociado comercial vigente y si ese archivo está dentro del análisis de riesgos. El retraso de notificación es un hallazgo en sí: unos 190 días desde el incidente hasta el aviso a la entidad cubierta, muy por encima del tope de 60 días de 45 CFR 164.410.

DOS LÍMITES SOBRE LAS CIFRAS: la cifra de 9,540,683 personas afectadas se atribuye a OCR por la prensa especializada y no está confirmada contra el portal federal de brechas, así que tómela como reportada, no como establecida. La prensa también describió a Mineral Community Hospital y Holton Community Hospital como centros de salud comunitarios; ambos son hospitales, y la lista subyacente es un registro de entidades cubiertas de 340B, que abarca FQHC, look-alikes y varias categorías de hospitales: no es un registro de FQHC.

Lone Star Community Health Center fue listado por un medio pero no aparece en la página de Aesto.