Para: cualquier persona en EE. UU. que haya acudido a un proveedor de atención médica y haya recibido una carta de Aesto (Aesto Health), una empresa que no reconoce; sus familias; y los proveedores y empresas que confían los registros de pacientes a proveedores externos.
Este artículo se basa en el aviso oficial de Aesto, el portal de violaciones del Departamento de Salud y Servicios Humanos de EE. UU. (HHS), una carta de notificación presentada ante el fiscal general de un estado y la guía y regulaciones de agencias estadounidenses (la FTC, el IRS y las normas federales). No aborda métodos de ataque.
Qué deben hacer hoy las personas que recibieron una carta
Revisa en la página del aviso a tu proveedor
El aviso de Aesto indica que se proporciona en nombre de las entidades cubiertas y tiene una sección que las identifica. La carta de muestra presentada ante el fiscal general de California también la envía Aesto en nombre de un proveedor cliente y menciona a ese proveedor. No descartes la carta solo porque no conozcas la empresa; busca el nombre de un proveedor que hayas utilizado realmente.
Usa solo el número del aviso
La línea dedicada es 833-918-8060 (de lunes a viernes, de 8 a. m. a 8 p. m., hora central, excepto los principales feriados de EE. UU.), y el aviso pide tener a mano su número de compromiso. Los datos expuestos incluyen información de contacto y del seguro, así que no confíes en llamadas o correos que digan «habla Aesto» o «sobre los registros archivados de tu hospital» y pidan tu SSN o número de cuenta (consulta qué es el phishing).
Revisa qué monitoreo ofrece tu propia carta
En la carta de muestra presentada en California, el proveedor cliente ofrece una membresía gratuita de monitoreo de crédito de 12 meses. Como es el proveedor quien la ofrece, los detalles y la fecha límite pueden variar de una carta a otra. Sigue los pasos de inscripción y la fecha límite de tu propia carta.
Protege los SSN y los ITIN: congela el crédito en las tres agencias y solicita un IP PIN del IRS
El bloqueo de crédito es gratuito y debe solicitarse en cada una de Equifax, Experian y TransUnion.
Un IP PIN del IRS es un número de seis dígitos que, según el IRS, impide que otra persona presente una declaración de impuestos usando tu SSN o ITIN. Los ITIN figuran en la lista de datos expuestos, así que esto aplica también a personas que presentan impuestos con un ITIN. El IP PIN es válido durante un año calendario y se genera uno nuevo cada año. Para la lista completa de pasos en EE. UU., incluidos los menores, consulta qué deben hacer los miembros de DentaQuest.
Información médica y del seguro: revisa tus estados de beneficios y solicita registros
La FTC señala una factura o un estado de explicación de beneficios (EOB) por servicios que no recibiste, o un cobrador que llama por una deuda médica que no tienes, como señales de robo de identidad médica. El aviso de Aesto también sugiere revisar tus estados EOB, dar seguimiento con tu aseguradora o proveedor a todo lo que no reconozcas y, si es necesario, solicitar copias de tus registros médicos desde la fecha del posible acceso hasta la actualidad.
Si estuvo involucrado un número de licencia o de cuenta, atiende también esa vía
Un número de licencia de conducir puede usarse de formas que un bloqueo de crédito no cubre. El consejo de la FTC de contactar a la agencia estatal de vehículos motorizados se explica en la violación de AssuranceAmerica. Si estuvo involucrado un número de cuenta financiera, revisa tus estados de cuenta y avisa a tu banco.
Paciente (tú)
Conoces al proveedor que te atendió
↓ atención→
Proveedor (entidad cubierta)
Entrega la migración y el archivo de registros antiguos
↓ proveedor→
Proveedor de archivo (socio comercial)
Acceso en parte de su entorno en la nube
Orden de notificación
Proveedor de archivo → proveedores (desde el 26 de junio de 2026) → pacientes (aviso y cartas emitidos por Aesto en nombre de los proveedores)
Lo que los pacientes normalmente no saben: que el proveedor entregó los registros al proveedor de archivo
Qué pasó (según el aviso de Aesto y los registros públicos)
Lo siguiente se toma del aviso de Aesto (fechado el 24 de junio de 2026), del portal de violaciones de la Oficina de Derechos Civiles de HHS y de la carta de aviso de muestra presentada ante el fiscal general de California.
Aprox. 2 de dic. de 2025
Según la empresa, el inicio del período en el que la información pudo haber sido accedida o adquirida.Aprox. 18 de dic.
La empresa detecta y contiene un incidente de seguridad de red que afectó a parte de su infraestructura en la nube, y comienza una investigación con expertos externos en ciberseguridad.26 de mayo de 2026
Tras una investigación forense y una revisión manual de documentos, la empresa confirma la información involucrada.24 de junio
La empresa publica su aviso.26 de junio
La empresa comienza a notificar a los clientes entidades cubiertas cuya información de pacientes estaba en los archivos posiblemente accedidos o adquiridos.31 de julio
Fecha de envío en el portal de HHS (9.540.683 afectados).25 de agosto
Fecha de la carta de aviso de muestra presentada ante el fiscal general de California (para un proveedor cliente).
- Empresa
- Aesto, LLC (Aesto Health), Birmingham, Alabama. Presta servicios de migración y archivo de datos sanitarios para clientes entidades cubiertas
- Entorno afectado
- Una parte limitada de su infraestructura en la nube
- Información involucrada
- Nombres, fechas de nacimiento, información médica, números de licencia de conducir, solo números de cuentas financieras, información del seguro médico, ITIN, otros números de identificación gubernamentales. SSN de un número limitado de personas. Varía según la persona
- Uso indebido
- La empresa afirma que no tiene evidencia de robo de identidad ni fraude financiero relacionado con el incidente
- Registro en el portal de HHS
- Tipo de entidad: Business Associate / Tipo: Hacking/IT Incident / Ubicación: Network Server
- Contacto
- 833-918-8060 (de lunes a viernes, de 8 a. m. a 8 p. m., hora central, excepto los principales feriados de EE. UU.)
Cómo leer las fechas
Desde la detección (aprox. 18 de diciembre de 2025) hasta la confirmación de la información (26 de mayo de 2026), la empresa afirma que realizó una investigación forense y una revisión manual de documentos. La carta de muestra para las personas que encontramos está fechada el 25 de agosto de 2026. Este artículo no evalúa ese período, pero lo que deben hacer los lectores está claro: ahora que tienes la carta, asume que tu información pudo haber estado en manos de otros durante meses, y haz primero el bloqueo y las comprobaciones.
¿Por qué una empresa que nunca habías oído nombrar tenía tus registros?
Aesto describe su negocio como migración y archivo de datos sanitarios. Cuando un proveedor reemplaza su historia clínica electrónica o su sistema de facturación, o se fusiona con otra organización, no puede simplemente desechar los registros del sistema antiguo. Por eso puede entregar los registros antiguos a un servicio externo de archivo que los mantiene disponibles para consulta.
Los pacientes nunca ven ese traslado. Acudieron a un hospital o clínica, y nadie les dice a dónde fueron los registros después.
Según las normas federales de privacidad sanitaria de EE. UU. (HIPAA), estos proveedores se llaman socios comerciales. Las regulaciones federales establecen el orden: cuando un socio comercial descubre una violación, notifica al proveedor (45 CFR 164.410), y el proveedor notifica a la persona (45 CFR 164.404). Por eso la carta llega con el nombre de Aesto, junto con el nombre de tu proveedor.
Lo que los pacientes no pueden ver
- A qué proveedores su proveedor entregó los registros
- Cuánto tiempo se conservan esos registros
- El entorno en la nube del proveedor
- El aviso llega con un nombre de empresa que nunca habían oído
Lo que los pacientes sí pueden hacer
- Revisar la lista de proveedores en la página del aviso
- Volver inútiles los SSN y los ITIN con bloqueos y un IP PIN
- Vigilar la información médica con estados de beneficios y copias de registros
- Usar solo el número impreso en el aviso
Opinión de este sitio: los registros archivados casi nunca se usan, pero contienen un conjunto completo de datos personales
Un archivo de registros antiguos rara vez se abre en la atención diaria, pero puede contener durante años un conjunto completo de nombre, fecha de nacimiento, seguro, SSN y número de cuenta. La lista de datos expuestos aquí se parece mucho a ese conjunto completo. Cuanto menos se usan los datos, menos recuerda alguien que existen, y más probable es que permanezcan sin que nadie decida quién los conserva ni hasta cuándo.
Archivar pospone la decisión de eliminar, y cuanto más se posterga, más personas se ven afectadas si el archivo se filtra. Para los proveedores, el primer paso es anterior al cifrado más robusto: listar lo que han entregado y fijar una fecha para devolverlo o destruirlo.
Para proveedores y empresas: un inventario de proveedores y una fecha de devolución o destrucción de los registros archivados
Haz un inventario de cada proveedor que tenga datos de pacientes
Migraciones de historias clínicas electrónicas y de facturación, archivos heredados de registros, servicios de facturación, digitalización de documentos. Haz una lista de cada proveedor que tenga datos de pacientes, sin importar qué departamento firmó el contrato, y para cada uno anota cuántos años y cuántas personas, qué campos (incluidos los SSN o números de cuenta) y en qué nube están.
En un incidente que abarca a muchos proveedores clientes, como este, esa lista es el punto de partida para determinar si estás afectado. El enfoque es el mismo que en un inventario de seguridad.
Fija una fecha de devolución o destrucción para los registros archivados
Confirma los plazos de conservación exigidos por la ley y por el contrato, e incluye un procedimiento para eliminar los registros que hayan superado su fecha en el contrato y en las operaciones.
Las regulaciones federales exigen que los contratos con socios comerciales establezcan que, al terminar, el socio comercial devolverá o destruirá, si es factible, toda la información protegida de salud y no conservará copias (45 CFR 164.504(e)(2)(ii)(J)). Cuando un contrato termina, confirma que la devolución o destrucción realmente se llevó a cabo.
Envía menos datos al archivo externo
Al trasladar registros de un sistema antiguo, pregunta campo por campo si los SSN y los números de cuenta realmente necesitan trasladarse también. Eliminar los campos que no necesitas para la consulta reduce lo que puede filtrarse. Para la conservación y las copias de seguridad en general, consulta lo esencial sobre copias de seguridad.
Ten la capacidad de indicar rápidamente de quién son los registros que hay allí
La empresa afirma que confirmar la información involucrada requirió una revisión manual de documentos. Si sabes qué archivos contienen los registros de qué personas y qué campos de todo lo que has entregado, podrás identificar más rápido a las personas afectadas tras un incidente y planear cómo contactar a quienes tengan datos de contacto desactualizados. Para el enfoque general, consulta la base mínima de seguridad para organizaciones.
Fuentes (registro público)
Los hechos de este artículo se basan en la siguiente información pública. No se utilizan estimaciones de la prensa ni especulaciones sobre causas no divulgadas. Los proveedores de atención médica se describen por su función en este artículo.
- Aesto, LLC d/b/a Aesto Health, «Notice of Data Security Incident» (24 de junio de 2026) — aestohealth.com
- Oficina de Derechos Civiles de HHS, «Breach Portal: Cases Currently Under Investigation» (Aesto, LLC: 9.540.683 afectados; enviado el 31 de julio de 2026) — ocrportal.hhs.gov
- Fiscal General de California, carta de aviso de muestra de Aesto (presentada para un proveedor cliente, 25 de agosto de 2026) — oag.ca.gov
- Código de Regulaciones Federales, 45 CFR 164.404 y 164.410 (notificación de violaciones) y 164.504(e) (contratos con socios comerciales) — ecfr.gov
- Comisión Federal de Comercio (FTC), «What To Know About Medical Identity Theft» — consumer.ftc.gov / «Credit Freezes and Fraud Alerts» — consumer.ftc.gov / IdentityTheft.gov
- Servicio de Impuestos Internos (IRS), «Get an identity protection PIN» — irs.gov
Historial de actualizaciones
2026-10-19: Se corrigió el título de búsqueda para que no implique que los 9,5 millones de personas tenían involucrados sus SSN. Se mantuvo la distinción oficial: los elementos de datos varían según la persona, y los SSN pudieron estar involucrados en un número limitado.
2026-09-30: Primera versión, basada en el aviso de Aesto (fechado el 24 de junio de 2026), el portal de violaciones de la Oficina de Derechos Civiles de HHS (enviado el 31 de julio de 2026), la carta de aviso de muestra presentada ante el fiscal general de California, la guía de la FTC y el IRS, y las regulaciones federales. La actualizaremos si la empresa o los reguladores publican más información.
Lectura siguiente
- El resumen de 2026 sobre salud en EE. UU.: violaciones en empresas con las que los pacientes nunca trataron directamente
- La lista completa de pasos en EE. UU. (bloqueos, IP PIN, menores): La violación de DentaQuest (SSN y números de Medicaid)
- Cuando se filtra un número de licencia de conducir: La violación de AssuranceAmerica
- Datos de pacientes en poder de un fabricante de dispositivos: La violación de Medtronic
- Otros incidentes de 2026: Lista de violaciones y ciberataques (Japón y mundial)
- Para operadores: Lo esencial sobre copias de seguridad / La base mínima de seguridad para organizaciones