Para: personas que recibieron un aviso de filtración de datos de Dexcom y usuarios de productos Dexcom que quieren saber si están afectados. Este artículo se basa en el propio comunicado de Dexcom y en los avisos que presentó ante el Fiscal General de California, y no aborda pasos de ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
- A quién afecta
personas que recibieron un aviso de filtración de datos de Dexcom y usuarios de productos Dexcom que quieren saber si están afectados.
- Confirmado hasta ahoraVer la tabla ↓
- Acceso no autorizado a documentos internos
- Documentos publicados en un sitio web ilícito
- Productos y operaciones de Dexcom
1 más
- Oferta de monitorización de crédito
Señalado como posiblemente afectado
- Nombre
- Número de Seguridad Social, fecha de nacimiento, información de ID oficial
- Dirección e información de salud (farmacia, profesional sanitario, fecha de nacimiento, número de receta, ciertos diagnósticos, indicación de ser usuario de Dexcom)
- Aún sin confirmar
- El número de personas afectadas (no lo indican la empresa ni la presentación)
- Qué aviso va a qué grupo de personas (los avisos no lo dicen)
- Si los usuarios fuera de Estados Unidos están afectados (no indicado)
1 más
- Los archivos y categorías de datos exactos implicados, más allá de las listas de los dos avisos de muestra
- Qué hacer ahoraVer los pasos ↓
- Compruebe qué datos enumera su carta
- Si su carta enumera un número de Seguridad Social: active la oferta de monitorización y mire sus informes de crédito
- Si su carta enumera información de salud: revise los extractos y espere contactos falsos convincentes
2 más
- Verifique cualquier llamada, mensaje o correo sobre esto con un número que busque usted mismo
- Siga usando sus dispositivos como antes
- Dónde verificarlo (fuente)Todas las fuentes ↓
- Dexcom, «Dexcom Cybersecurity update» (comunicado oficial del 10 de octubre de 2026, con la actualización del 12 de noviembre; consultado el 15 de noviembre)
- Última comprobación
- A 15 de noviembre de 2026
Próximos avisos y qué comprobamos
La empresa dice que su investigación ya ha concluido y que cierra el incidente mientras sigue vigilando sus sistemas (comunicado del 12 de noviembre). No ha dicho que vaya a publicar más. Consultamos la página de la empresa el 15 de noviembre y no encontramos ningún comunicado más reciente que el del 12 de noviembre.
Qué hacer hoy
Compruebe qué datos enumera su carta
Los dos avisos de muestra del sitio del Fiscal General de California difieren. Uno enumera nombre, número de Seguridad Social, fecha de nacimiento e información de identificación oficial. El otro enumera nombre, dirección e información de salud que podría incluir la farmacia preferida, el profesional sanitario, la fecha de nacimiento, el número de receta, ciertos diagnósticos y otra información de salud limitada. Los avisos no dicen quién recibe cuál, así que lea la lista de su propia carta. Si no recibió una carta, nada de lo publicado dice que esté afectado, pero la empresa tampoco ha publicado un número de personas.
Si su carta enumera un número de Seguridad Social: active la oferta de monitorización y mire sus informes de crédito
Ese aviso ofrece una suscripción gratuita de dos años con monitorización de crédito, asesoramiento sobre fraude y restitución de la identidad a través de un proveedor de servicios de monitorización. Dice que inscribirse no afecta a su puntuación de crédito. La monitorización de crédito exige ser mayor de 18 años con historial de crédito establecido en EE. UU., un número de Seguridad Social a su nombre y una dirección residencial en EE. UU., por lo que puede no ser utilizable desde fuera de Estados Unidos. Use el sitio web y el número de suscripción impresos en su carta, y el plazo de su carta (la muestra lo deja en blanco). Los pasos del propio aviso son revisar los extractos de sus cuentas y los informes de crédito gratuitos (annualcreditreport.com, 1-877-322-8228 en EE. UU.) y, si sospecha un uso indebido, contactar con la Comisión Federal de Comercio, con las fuerzas del orden locales o con el fiscal general de su estado. También explica las alertas de fraude y las congelaciones de seguridad gratuitas con las tres agencias de crédito de EE. UU.
Si su carta enumera información de salud: revise los extractos y espere contactos falsos convincentes
Ese aviso dice que el incidente no afectó a su número de Seguridad Social, números de tarjetas de crédito o débito ni otra información financiera. Le remite a los mismos pasos: revisar los extractos de sus cuentas y los informes de crédito, e informar de cargos no autorizados a su entidad financiera. Los datos de farmacia, profesional sanitario y receta son el tipo de hechos que un falso interlocutor puede usar para parecer auténtico (un punto general, no algo que la empresa haya informado). No facilite una fecha de nacimiento, un número de receta ni un número de tarjeta a alguien que le haya contactado primero.
Verifique cualquier llamada, mensaje o correo sobre esto con un número que busque usted mismo
Dexcom dice que el incidente procedió de un vishing dirigido, así que las llamadas telefónicas son la vía ante la que hay que tener cuidado. Si alguien llama por su cuenta de Dexcom o sus recetas, cuelgue y llame al número de la empresa de la carta, del sitio web o de sus propios registros. Los avisos dan el (844) 971-8641, de lunes a viernes, de 8:00 a 17:30 hora central, excepto los principales festivos de EE. UU.
Siga usando sus dispositivos como antes
La empresa dice que sus productos siguen siendo seguros y plenamente operativos y que el incidente no tuvo impacto en sus productos ni operaciones (comunicados del 10 de octubre y del 12 de noviembre). Ninguno de los dos comunicados pide a los usuarios que cambien la configuración del dispositivo ni restablezcan una contraseña de Dexcom. Desconfíe de cualquier mensaje que diga otra cosa. Nuestro consejo general sobre contactos falsos figura en Qué es el phishing.
Qué ocurrió (según el comunicado y los avisos de Dexcom)
Esta sección sigue la página de actualización de ciberseguridad de Dexcom (comunicado del 10 de octubre, actualización del 12 de noviembre) y los dos avisos de muestra que presentó ante el Fiscal General de California. Son relatos de la propia empresa y no han sido verificados por un tercero.
10 de octubre
Primer comunicado de Dexcom: identificó un incidente de ciberseguridad que supuso un acceso no autorizado a información limitada de ciertos documentos internos tras eventos de vishing dirigido. Dijo que activó sus protocolos de respuesta a incidentes, contrató a una empresa forense de ciberseguridad para una investigación independiente y contuvo el incidente, y que no hubo impacto en sus productos, operaciones ni capacidad de atender a clientes y socios.2 de noviembre
No se ha publicado la fecha del acceso no autorizado real. Esta es la fecha que dan los avisos para la determinación de la empresa de que parte de la información de una persona pudo verse implicada. La lista del Fiscal General de California muestra el 2 de noviembre de 2026 como fecha de la vulneración.12 de noviembre
Actualización de Dexcom: el incidente se debió a ataques de vishing dirigidos que llevaron a un acceso no autorizado a ciertos documentos internos, que después se publicaron en un sitio web ilícito. Una pequeña fracción de los archivos afectados contenía información personal. La empresa está notificando a las personas afectadas y, con su investigación concluida, cierra el incidente.13 de noviembre
Fecha de informe de Dexcom en la lista del Fiscal General de California, con dos avisos de muestra.
- Cómo ocurrió (palabras de la empresa)
- Acceso no autorizado a ciertas cuentas de empleados. La investigación determinó que un tercero no autorizado accedió mediante ingeniería social y pudo descargar ciertos archivos
- Contención
- Se revocó el acceso de las cuentas comprometidas. La investigación no halló pruebas de actividad no autorizada en curso
- Aviso 1: información que pudo verse implicada
- Uno o más de: nombre, número de Seguridad Social, fecha de nacimiento, información de identificación oficial
- Aviso 2: información que pudo verse implicada
- Nombre, dirección e información de salud que podría incluir la farmacia preferida, el profesional sanitario, la fecha de nacimiento, el número de receta, ciertos diagnósticos y otra información de salud limitada, como la indicación de que usted es usuario de Dexcom
- No implicado (aviso 2)
- Número de Seguridad Social, números de tarjetas de crédito o débito, otra información financiera
- Oferta de monitorización
- Solo el aviso 1: una suscripción gratuita de dos años, con monitorización de crédito, asesoramiento sobre fraude y restitución de la identidad, a través de un proveedor de servicios de monitorización
- Uso indebido
- La empresa dice que no tiene indicios de que se haya hecho un uso indebido de ninguna información
- Contacto
- (844) 971-8641, de lunes a viernes, de 8:00 a 17:30 hora central, excepto los principales festivos de EE. UU. (ambos avisos)
Qué se sabe y qué no
El estado a 15 de noviembre de 2026. Actualizaremos la columna de estado cuando se publique más información.
| Elemento | Contenido | Estado |
|---|---|---|
| Acceso no autorizado a documentos internos | Tras un vishing dirigido; archivos descargados (avisos) | Confirmado (la empresa) |
| Documentos publicados en un sitio web ilícito | El comunicado del 12 de noviembre dice que los documentos se publicaron después | Confirmado (la empresa) |
| Nombre | Enumerado en ambos avisos | Posible (la empresa: pudo verse implicado) |
| Número de Seguridad Social, fecha de nacimiento, información de ID oficial | Enumerados en el aviso 1 | Posible (la empresa: pudo verse implicado) |
| Dirección e información de salud (farmacia, profesional sanitario, fecha de nacimiento, número de receta, ciertos diagnósticos, indicación de ser usuario de Dexcom) | Enumeradas en el aviso 2 | Posible (la empresa: pudo verse implicado) |
| Número de Seguridad Social, números de tarjeta, otra información financiera (aviso 2) | El incidente no los afectó | No incluidos (la empresa) |
| Números de tarjeta en el aviso 1 | No enumerados | No indicado |
| Productos y operaciones de Dexcom | Sin impacto; productos seguros y plenamente operativos | Confirmado (la empresa) |
| Uso indebido de la información | Sin indicios de uso indebido | No confirmado (la empresa) |
| Número de personas afectadas | No indicado | No indicado |
| Quién recibe el aviso 1 y quién el aviso 2 | No indicado | No indicado |
| Usuarios fuera de Estados Unidos | No indicado | No indicado |
| Oferta de monitorización de crédito | Solo el aviso 1 | Confirmado (la empresa) |
Cómo leer esto: los dos avisos abarcan datos distintos y la presentación es una muestra
Los dos avisos de muestra son plantillas presentadas ante un estado, con el nombre del destinatario, la fecha y el plazo de activación dejados como marcadores. No dicen cuántas personas recibieron cada uno ni si una misma persona puede recibir ambos. No suponga que se expuso un número de Seguridad Social porque aparezca en un aviso, ni que se expuso información de salud para todos: cada carta dice que la información pudo verse implicada para la persona a quien va dirigida.
Cómo leer esto: el relato de la empresa no ha sido verificado por un tercero
El comunicado y los avisos se basan en la propia investigación de Dexcom, apoyada por una empresa externa de ciberseguridad cuyas conclusiones no se han publicado. La afirmación de que los documentos se publicaron en un sitio web ilícito es la redacción de la empresa. No tratamos afirmaciones de otros sobre el incidente.
Qué puede ocurrir cuando se sustraen datos de salud y números de identidad
Esto es lo que puede ocurrir en general, no una afirmación de que haya ocurrido aquí. La empresa dice que no tiene indicios de uso indebido.
Un número de Seguridad Social, una fecha de nacimiento y la información de ID oficial juntos son lo que alguien necesita para solicitar crédito a nombre de otra persona, por lo que el aviso remite a los informes de crédito, las alertas de fraude y las congelaciones de seguridad. El nombre de una farmacia, el de un profesional sanitario, un número de receta y una fecha de nacimiento no abren cuentas por sí solos, pero hacen que una llamada o un mensaje falsos parezcan venir de una farmacia, una clínica o un fabricante de dispositivos. Pueden pedir a las personas que confirmen una receta, paguen una cuota o lean un código. Trate cualquier contacto que empiece con esos datos y le pida algo como no verificado hasta que lo compruebe mediante un número que haya buscado usted mismo.
Qué pueden aprender las organizaciones
El relato de la propia empresa es que la vía de entrada fue ingeniería social telefónica dirigida a empleados, seguida de descargas de archivos. A partir de los hechos que publicó, y como opinión nuestra y no como valoración de la empresa: el personal que puede acceder a archivos con datos de salud o de identidad de clientes necesita una forma de verificar a quien llama que no dependa de quien llama (devolver la llamada a un número conocido, un ticket en un sistema), el acceso a esos archivos debe limitarse y registrarse, y los documentos antiguos con datos personales no deben estar en lugares ampliamente accesibles. No describimos el ataque en sí.
Fuentes (registros públicos)
Los datos de este artículo proceden de los siguientes registros públicos. No se tratan detalles del ataque.
- Dexcom, «Dexcom Cybersecurity update» (comunicado oficial del 10 de octubre de 2026, con la actualización del 12 de noviembre; consultado el 15 de noviembre) — dexcom.com
- Dexcom, Inc., página del informe de filtración de datos en el sitio del Fiscal General de California (fecha de la vulneración 2 de noviembre de 2026, informada el 13 de noviembre de 2026; consultado el 15 de noviembre) — oag.ca.gov
- Aviso de muestra 1 (nombre, número de Seguridad Social, fecha de nacimiento, información de identificación oficial; oferta de monitorización; ELN-28926) — oag.ca.gov (PDF)
- Aviso de muestra 2 (nombre, dirección, información de salud; ELN-28930) — oag.ca.gov (PDF)
- Fiscal General de California, «Search Data Security Breaches» (entrada de la lista para Dexcom, Inc.) — oag.ca.gov
Historial de actualizaciones
2026-11-15: Primera versión. Basada en la página de actualización de ciberseguridad de Dexcom (comunicado del 10 de octubre y actualización del 12 de noviembre) y en los dos avisos de muestra presentados ante el Fiscal General de California el 13 de noviembre. El comunicado y los avisos de la empresa se tratan como fuentes primarias. Actualizaremos cuando se publique más información.
Lectura recomendada
- Filtraciones de datos médicos en EE. UU. este año: US healthcare data breaches (2026): major cases and how to check a notice (en inglés)
- Qué hacer cuando se ha filtrado un número de identificación: Driver's license data leak: what to do (en inglés)
- Llamadas y mensajes falsos: Qué es el phishing
- Otros incidentes de 2026: Data breaches and cyberattacks of 2026 (en inglés)