Denver Health Medical Plan reveló que una clave de acceso vinculada a su proveedor externo de análisis, SquareML, quedó expuesta en un sitio web público. La exposición ocurrió entre el 27 de junio de 2025 y el 18 de agosto de 2026. La organización se enteró de la credencial expuesta el 14 de agosto de 2026 y desactivó la clave el 18 de agosto de 2026. Las notificaciones públicas y las cartas de notificación individual comenzaron el 1 de octubre de 2026.
El incidente comprometió potencialmente los registros de 238,083 miembros. La información comprometida incluyó nombres completos, fechas de nacimiento, ciudad, estado, códigos ZIP, información demográfica, métricas de salud como BMI, HbA1c y eGFR, detalles de elegibilidad del plan de salud, nombres de proveedores y registros de admisión, alta y traslado hospitalario. Los números de Seguro Social y los datos financieros no formaban parte de la base de datos expuesta.
La organización informó que la clave de acceso era de solo lectura y que las credenciales se restablecieron tras el hallazgo. A medida que las organizaciones revisan los entornos de los proveedores y los registros de acceso, pueden surgir hallazgos adicionales o cifras de impacto ajustadas.