Para: personas en EE. UU. que han recibido equipos CPAP (para la apnea del sueño), suministros para diabetes, oxígeno u otros equipos médicos para el hogar de AdaptHealth, sus familias y cualquier persona cuya organización dé a contratistas acceso a sus sistemas.
Este artículo se basa en el aviso de AdaptHealth, en su informe a la Comisión de Bolsa y Valores de EE. UU. (SEC), en las comunicaciones estatales y del Departamento de Salud y Servicios Humanos de EE. UU. (HHS), y en la guía del gobierno estadounidense. No aborda las técnicas de ataque.
Qué deben hacer hoy los pacientes
Revise su carta y use solo el número oficial
La empresa afirma que notificó a todas las personas afectadas de las que tenía datos de contacto actualizados. Para consultas, su aviso indica el (844) 958-8963, de lunes a viernes, de 8:00 a. m. a 5:30 p. m., hora del centro de EE. UU., excepto festivos federales.
Si no está seguro de que la carta sea auténtica, abra usted mismo el aviso en el sitio web de la empresa y el portal de filtraciones del HHS (ocrportal.hhs.gov) y compárelos. Los pasos están en Seis filtraciones de datos sanitarios en EE. UU. en 2026, y cómo verificar un aviso.
Inscríbase en el monitoreo gratuito antes de la fecha límite
La empresa afirma que ofrece servicios de protección de identidad, incluido el monitoreo de crédito, sin cargo durante al menos 12 meses. Su código de activación y la fecha límite están en la carta.
Como no se expusieron SSN, un congelamiento de crédito en las tres agencias no es indispensable en este caso. Sin embargo, si su SSN se ha expuesto en otra filtración, este es un buen momento para activarlo.
Revise su Explicación de Beneficios por reclamaciones que no reconoce
Una Explicación de Beneficios (EOB) es el estado que envía su aseguradora y que muestra quién recibió pagos, por qué atención y por qué monto. La Comisión Federal de Comercio (FTC) señala como señales de alerta del robo de identidad médica las facturas por atención que no recibió y las llamadas de cobradores de deudas por deudas médicas desconocidas.
En el caso de equipos médicos para el hogar, busque también equipos o suministros que nunca recibió. Medicare recomienda comparar las fechas y los servicios de sus estados con sus propios registros.
No dé números de seguro a quien llame sobre reposiciones
Los datos expuestos pueden incluir datos de contacto e información de salud, como qué equipo usa. Por eso, quien llame, mencione su dispositivo y diga que es "momento de un reemplazo" o que su "seguro necesita verificación", no ha demostrado nada.
No responda con su número de seguro o de Medicare. Cuelgue y llame al número de su factura o equipo de AdaptHealth, o al de su médico que le receta. Medicare afirma que nunca le llamará para venderle algo ni visitará su casa. Para aprender a identificar estos contactos, consulte ¿Qué es el phishing?
Si encuentra un cargo extraño, solicite sus registros y denúncielo
La FTC recomienda solicitar sus registros a los proveedores implicados, reportar los errores por escrito y elaborar un plan de recuperación en IdentityTheft.gov. Si cree que su número de Medicare está siendo mal utilizado, llame al 1-800-MEDICARE (1-800-633-4227).
Qué pasó (según el aviso de AdaptHealth y el informe a la SEC)
Lo siguiente se basa en el aviso de AdaptHealth, en su Formulario 8-K presentado ante la SEC, en una comunicación estatal y en el informe al HHS, tal como se recoge en la prensa.
5 de junio de 2026
Según la empresa, la fecha del ataque.15 de junio
La empresa recibió una comunicación de un actor de amenazas que afirmaba haber obtenido datos. La empresa afirma que descubrió el ataque en esta fecha.27 de junio
La empresa determinó que el incidente era significativo, debido a la naturaleza y al volumen potencial de los datos en riesgo.2 de julio
Formulario 8-K presentado ante la SEC, que describe la causa y los tipos de datos sustraídos.14 de agosto
Aviso publicado en el sitio web de la empresa, con la notificación a las personas afectadas y al menos 12 meses de protección de identidad gratuita.Alrededor del 21 de agosto
El fiscal general de Vermont anunció que se vieron afectados más de 48.000 residentes de Vermont (según informes de prensa).Principios de septiembre
El portal de filtraciones de la Oficina de Derechos Civiles del HHS enumeró a 4.115.802 personas (según informes de prensa).
- Empresa
- AdaptHealth, que suministra equipos y suministros médicos para el hogar, como CPAP, suministros para diabetes y oxígeno, a pacientes en EE. UU.
- Datos expuestos
- Nombres, datos de contacto, información demográfica, información de seguros médicos e información de salud (aviso del 14 de agosto)
- No incluidos
- SSN, información de cuentas financieras, de tarjetas de crédito o débito, y de cuentas bancarias. La empresa afirma que no recopila SSN en los sistemas afectados
- Causa (informe a la SEC)
- Un ataque de ingeniería social exitoso (engañar a personas para que entreguen información o acceso) comprometió una sesión de usuario asociada a un contratista externo
- A qué se llegó (mismo informe)
- Aplicaciones empresariales basadas en la nube, incluidos los sistemas internos de gestión de pacientes y las plataformas de almacenamiento de documentos. Se tomó un archivo de contraseñas almacenado asociado con la facturación de seguros, y se accedió a portales externos de historiales clínicos electrónicos
- Respuesta
- Desactivó la cuenta, restableció las credenciales afectadas y añadió controles de acceso. Notificó a las autoridades e investigó con expertos externos. La empresa afirma que las operaciones y la atención al paciente no se vieron afectadas de forma significativa
- Contacto
- (844) 958-8963, de lunes a viernes, de 8:00 a. m. a 5:30 p. m., hora del centro de EE. UU., excepto festivos federales
Sobre las cifras
La cifra de 4.115.802 es el recuento notificado al portal de filtraciones de la Oficina de Derechos Civiles del HHS, según recoge la prensa. El aviso del 14 de agosto de la empresa no da ningún número. También circulan en internet afirmaciones de las personas que sustrajeron los datos; este artículo no las utiliza. No recibir una carta no demuestra que no esté afectado, ya que quienes tengan datos de contacto desactualizados podrían no haber sido localizados.
Hasta dónde llegó la cuenta de un contratista
En el caso de DentaQuest (filtración de datos de DentaQuest), la persona engañada fue un empleado de la propia empresa, y las lecciones se centraron en la MFA y en la verificación de identidad en mesas de ayuda. Lo que destaca del informe de AdaptHealth es distinto. La vía de entrada fue un contratista externo, y desde ahí el acceso fue más allá de la nube de la propia empresa, hacia sistemas operados por terceros.
Una sesión de usuario asociada a un contratista externo
Comprometida mediante ingeniería social
↓
Las aplicaciones empresariales de la empresa en la nube
Gestión de pacientes, almacenamiento de documentos → datos de pacientes sustraídos
↓
Un archivo de contraseñas almacenado para la facturación de seguros
Confirmado como sustraído
↓
Portales externos de historiales clínicos electrónicos
Confirmado como accedido (sistemas fuera de la empresa)
De esta secuencia se derivan dos lecciones generales. Las cuentas de contratistas no siempre están protegidas tan firmemente como las de los empleados. Y las contraseñas compartidas guardadas en un archivo convierten una intrusión en acceso a los sistemas de socios.
Fácil de propagar
- Los contratistas tienen cuentas permanentes sin fecha de fin
- Los contratistas pueden llegar a más aplicaciones de las que necesita su trabajo
- Las contraseñas de los portales de socios están escritas en un archivo compartido
- Varias personas comparten un mismo inicio de sesión
Más fácil de contener
- El acceso del contratista tiene una fecha de fin por trabajo y se corta cuando el trabajo termina
- Los contratistas solo llegan a las aplicaciones y datos que necesita su trabajo
- Las credenciales compartidas se guardan en un sistema de gestión de contraseñas que registra su uso
- Una cuenta por persona en los portales de socios, con MFA
Para organizaciones que manejan datos de pacientes o usan contratistas
Liste las cuentas de contratistas y lo que cada una puede alcanzar
Elabore una tabla con cada cuenta de contratista que pueda entrar en sus sistemas: empresa, persona responsable, aplicaciones, datos visibles y fecha de caducidad. Empiece por las cuentas sin caducidad, sin propietario conocido o con más acceso del que necesita el trabajo, y reduzca o desactive esos accesos.
Exija a los contratistas los mismos requisitos de MFA que al personal. Para elegir métodos sólidos, consulte Cómo elegir la autenticación multifactor.
Busque contraseñas guardadas en archivos y trasládelas a un gestor de contraseñas
Revise las unidades compartidas, el almacenamiento de documentos y las hojas de cálculo en busca de archivos que contengan contraseñas de portales de socios o de sitios de facturación de seguros. Muévalas a un sistema de gestión de contraseñas que pueda separar el acceso por persona (por ejemplo, un gestor de contraseñas empresarial) y luego elimine los archivos. Los fundamentos para uso personal están en Cómo elegir un gestor de contraseñas.
Cuando se detecte una intrusión, cambie de inmediato las contraseñas de los portales de socios
Contener sus propios sistemas no impide que alguien use contraseñas sustraídas en el sistema de un socio. Mantenga de antemano una lista de las credenciales almacenadas y planifique cambiarlas todas el mismo día, junto con los contactos que usará para avisar a cada socio.
Siga vigilando después del inicio de sesión
El informe indica que se comprometió una sesión de usuario. Una sesión es el estado de inicio de sesión que sigue siendo utilizable durante un tiempo después de entrar; superar la MFA al iniciar sesión dice poco de lo que ocurre después. Acorte la duración de las sesiones de contratistas, exija volver a autenticarse para acciones importantes como descargas masivas de datos de pacientes y genere alertas cuando una cuenta lea muchos más datos de lo habitual. El enfoque general está en Referencia de seguridad para organizaciones.
Fuentes (registro público)
Los hechos de este artículo proceden de las fuentes públicas siguientes. No se utilizan afirmaciones de las personas que sustrajeron los datos.
- AdaptHealth, "AdaptHealth Notice of Cybersecurity Incident" (14 de agosto de 2026) — adapthealth.com
- AdaptHealth Corp., Formulario 8-K, Elemento 1.05 (fechado el 2 de julio de 2026; copia alojada por classaction.org) — classaction.org (PDF)
- BleepingComputer, "AdaptHealth confirms 4.1 million people exposed in July cyberattack" (9 de septiembre de 2026) — bleepingcomputer.com
- SecurityWeek, "4.1 Million Impacted by AdaptHealth Data Breach" (10 de septiembre de 2026) — securityweek.com
- HIPAA Journal, "AdaptHealth Data Breach" — hipaajournal.com
- WCAX, "Data breach at health product company impacts 48.000 Vermonters" (21 de agosto de 2026) — wcax.com
- Federal Trade Commission, "What To Know About Medical Identity Theft" — consumer.ftc.gov / IdentityTheft.gov
- Medicare, "Reporting Medicare fraud and abuse" — medicare.gov
Historial de actualizaciones
2026-10-03: Primera versión, basada en el aviso de AdaptHealth del 14 de agosto, su Formulario 8-K fechado el 2 de julio, el recuento del HHS y la comunicación de Vermont según informes de prensa, y la guía de la FTC y de Medicare.
Lectura recomendada
- Cómo comprobar si un aviso es auténtico: Seis filtraciones de datos sanitarios en EE. UU. en 2026, y cómo verificar un aviso
- Personas engañadas para dar acceso: Filtración de datos de DentaQuest (un código MFA entregado) / Filtración de datos de Carnival Corporation
- Otro caso de datos de salud de 2026: Aesto Health (un proveedor de almacenamiento de datos de salud)
- Preparación ante estafas posteriores: ¿Qué es el phishing?
- Otros incidentes de 2026: Lista de filtraciones de datos y ciberataques (Japón y mundial)
- Para organizaciones: Referencia de seguridad para organizaciones