HIPAA OCR: 725 brechas, 275 millones de registros
Actualizado para 2026
El HHS Office for Civil Rights (OCR) registró 725 brechas de datos de salud en 2024. Esas brechas expusieron 275 millones de registros de pacientes. Es el total más alto jamás documentado en un solo año.
El costo promedio de una brecha en el sector salud alcanzó los 10,22 millones de dólares en 2025. Esta cifra proviene del informe IBM Cost of a Data Breach. Incluye multas civiles, honorarios legales, notificaciones a pacientes, monitoreo de crédito y daños a la reputación.
2025 y 2026 son años clave para las entidades cubiertas y sus socios comerciales. Una actualización propuesta de la Regla de Seguridad HIPAA (marzo 2025) introduciría los requisitos técnicos más importantes desde 2003.
Qué causó 725 brechas en 2024
El portal OCR clasifica los fallos de 2024 en cuatro categorías.
Piratería e incidentes informáticos causaron el 74 % de las brechas reportadas. Ransomware, ataques a servidores y fraude por correo electrónico son los tipos más comunes. Los atacantes ahora apuntan a redes completas. Un solo ataque puede extraer millones de registros de un sistema EHR de una sola vez.
Acceso no autorizado y divulgación causaron el 18 % de las brechas. Controles de acceso deficientes, uso indebido por parte de empleados y envíos al destinatario equivocado entran en esta categoría.
Incidentes en terceros representaron el 35 % de las brechas de 2024. La brecha comenzó en un socio comercial — no en la entidad cubierta. Change Healthcare (subsidiaria de UnitedHealth Group) por sí sola expuso los datos de más de 190 millones de pacientes. Es la mayor brecha de datos de salud en la historia de EE.UU.
Robo o pérdida de medios portátiles causó el 8 % de las brechas. Portátiles, memorias USB y documentos en papel — perdidos o robados sin cifrado.
Las 18 categorías PHI según Safe Harbor
El método Safe Harbor de HIPAA (45 CFR §164.514(b)) exige la eliminación de las 18 categorías de información de salud protegida (PHI). La mayoría de los equipos conoce la lista. El reto está en la detección automatizada a gran escala.
- Nombres — pacientes, familiares, empleadores
- Datos geográficos — cualquier área menor que un estado
- Fechas — ingreso, alta, nacimiento, muerte (el año puede permanecer)
- Números de teléfono
- Números de fax
- Correos electrónicos
- Números de seguridad social
- Números de historia clínica (formato varía según el sistema EHR)
- Números de beneficiario del seguro médico
- Números de cuenta
- Números de certificado y licencia — licencia médica, DEA, estatal
- Identificadores de vehículos — VINs y placas
- Identificadores de dispositivos — números de serie y códigos únicos
- URLs web
- Direcciones IP
- Datos biométricos — huellas dactilares e impresiones de voz
- Fotografías de rostro completo e imágenes comparables
- Cualquier otro número, código o característica identificadora única
La categoría 18 es la más difícil de detectar. Cualquier código que vincule un registro con una persona específica debe eliminarse — incluso sin un patrón predefinido.
Para una guía paso a paso sobre cómo eliminar los 18 tipos de registros clínicos, consulte De-identificación HIPAA Safe Harbor para la investigación en salud.
Cinco nuevos requisitos en la actualización propuesta
La actualización propuesta de la Regla de Seguridad HIPAA (marzo 2025) añade cinco obligaciones.
Auditorías de cifrado anuales. Las entidades cubiertas deben verificar que toda la PHI en reposo use AES-256 o equivalente. La gestión de claves debe cumplir estándares documentados.
Procedimientos de de-identificación documentados. Cualquier PHI usada en investigación, entrenamiento de IA o análisis requiere procedimientos escritos. Una declaración de política no es suficiente. Se requiere documentación técnica con pruebas de validación.
Evaluaciones de seguridad de socios comerciales. Los socios comerciales deben cumplir requisitos técnicos específicos antes de incorporarse. Antes, los contratos gestionaban esto sin detalle técnico.
Autenticación multifactor (MFA). Todo el personal con acceso a PHI electrónica debe usar MFA. Los sistemas heredados no están exentos.
Pruebas de respuesta a incidentes. Se requieren ejercicios anuales y pruebas técnicas. Los equipos deben conservar los registros de resultados.
Las lecciones de Change Healthcare
La brecha de Change Healthcare (febrero 2024) mostró el riesgo sistémico en acción. Change Healthcare procesaba 15 mil millones de transacciones al año. Funcionaba como cámara de compensación entre proveedores, pagadores y farmacias.
La brecha comenzó con una sola cuenta de acceso remoto Citrix. Esa cuenta no tenía MFA. Los atacantes se movieron por la red durante nueve días. Luego desplegaron ransomware.
La lección es directa. Un socio comercial con amplio acceso a transacciones de salud es un riesgo sistémico para todas las organizaciones que conecta. El marco anterior no fue diseñado para proveedores que manejan un tercio de todas las transacciones de salud de EE.UU.
Los requisitos de MFA, segmentación de red y evaluación de socios del reglamento propuesto se derivan directamente de este incidente.
Para la eliminación de PHI en formatos de registros hospitalarios específicos, consulte Detección HIPAA MRN y patrones hospitalarios específicos. Para arquitectura zero-knowledge que mantiene los datos del paciente fuera de la red, consulte PHI en la nube compatible con HIPAA y diseño zero-knowledge.