Filtración de datos de DentaQuest: un código MFA entregado a un estafador y qué deben hacer los afiliados

DentaQuest comenzó a enviar cartas el 17 de julio de 2026. Se presentaron versiones separadas para adultos, menores y personas fallecidas. La empresa también publicó la misma información en su sitio web para las personas a las que no pudo contactar. Si tiene preguntas, el centro de llamadas dedicado es el (844) 959-7163, de lunes a viernes, de 8:00 a. m. a 5:30 p. m., hora central. Como los datos incluyen números de teléfono y direcciones, no confíe en una llamada ni en un mensaje de texto que diga ser de DentaQuest y le pida «confirmar» su número de la Seguridad Social o su número de afiliado; llame al número impreso en su carta (véase ¿Qué es el phishing?).

La carta ofrece 24 meses de supervisión de identidad sin costo, que incluyen supervisión de crédito, asesoramiento ante fraudes y restauración de la identidad en caso de robo. Indica que tiene 90 días desde la fecha de envío de la carta para inscribirse, usando el código de activación de la carta. La supervisión le avisa cuando el fraude ya ha ocurrido; el siguiente paso, la congelación de crédito, es lo que impide que se abran nuevas cuentas.

La FTC indica que, mientras una congelación de crédito esté activa, nadie puede abrir una nueva cuenta de crédito a su nombre. Es gratuita, no afecta su puntuación crediticia y dura hasta que la levante. Debe contactar a las tres agencias por separado. Cuando necesite crédito, puede levantarla temporalmente en la agencia que use el prestamista. Una alerta de fraude es una opción más ligera que pide a los prestamistas que verifiquen primero su identidad; una alerta inicial dura un año.

Un PIN IP es un número de seis dígitos que, según el IRS, impide que otra persona presente una declaración de impuestos usando su número de la Seguridad Social. Cualquier persona con un número de la Seguridad Social o un ITIN que pueda verificar su identidad puede inscribirse, aunque no esté obligada a presentar declaración. La vía más rápida es su cuenta en línea del IRS. Los padres y tutores también pueden solicitarlo para sus dependientes.

La FTC describe el robo de identidad médica como el uso de su nombre, número de la Seguridad Social, número de seguro médico o número de Medicare para obtener atención o presentar reclamaciones. Las señales de alerta incluyen una factura o una Explicación de Beneficios por atención que no recibió, o un cobrador de deudas que le llama por una deuda médica que usted no debe. Si cree que alguien usa su número de Medicare, Medicare indica que llame al 1-800-MEDICARE (1-800-633-4227), y nunca le llamará sin que usted lo haya solicitado para pedirle información personal. Para un número de Medicaid, aplica el consejo de la FTC: contacte con el plan de salud y con los proveedores donde pudo usarse su información y solicite los registros. El fraude en Medicare y Medicaid también puede denunciarse en la línea directa de la Oficina del Inspector General del HHS (1-800-HHS-TIPS).

DentaQuest presentó una carta separada para menores, por lo que los niños están entre las personas notificadas. La FTC indica que, si su hijo tiene menos de 16 años, usted puede solicitar una congelación de crédito gratuita a nombre del menor; permanece activa hasta que pida a las agencias que la eliminen, y cada agencia tiene su propio procedimiento para menores. Para un PIN IP de un menor de 18 años, el IRS indica que debe usar una de sus opciones de inscripción alternativas.

Si encuentra una cuenta, una declaración de impuestos o una reclamación médica que usted no hizo, denúnciela en IdentityTheft.gov. El sitio de la FTC pregunta qué ocurrió y elabora un plan personal de recuperación. La carta de DentaQuest también aconseja contactar con la policía local si sospecha de robo de identidad.

Busque en los recursos compartidos y las carpetas de la nube hojas de cálculo y exportaciones que contengan números de la Seguridad Social, identificadores de afiliado o códigos de diagnóstico. Para cada una, pregunte: ¿quién necesita este archivo y podría hacerse el mismo trabajo dentro del sistema de registro, donde el acceso queda registrado y limitado?

Un inicio de sesión robado que pasó el MFA parece un inicio de sesión normal. Lo que destaca es cuántos datos lee una cuenta. Configure una alerta en el registro de auditoría de su servidor de archivos o almacenamiento en la nube para una cuenta que lea muchos más archivos que su volumen diario habitual, y envíela a alguien que pueda suspender la cuenta ese mismo día.

DentaQuest envió cartas separadas para adultos, menores y personas fallecidas, y su cifra creció a medida que avanzaba la revisión de datos. Decida de antemano cómo identificaría a las personas a partir de un conjunto de archivos y cómo llegaría a quienes tengan datos de contacto desactualizados. La base general se explica en La seguridad mínima recomendada para organizaciones.