Para: pacientes en EE. UU. que usan un dispositivo médico de Medtronic (un marcapasos, por ejemplo) y sus familias, y cualquier persona que gestione datos de pacientes de dispositivos médicos. Este artículo se basa en la declaración oficial de Medtronic y su presentación ante la SEC, las presentaciones ante los fiscales generales estatales de EE. UU. y la carta de notificación, así como en información pública de agencias estadounidenses (la FTC, el IRS y las normas de la FDA). No aborda los métodos de ataque.
Qué deben hacer hoy los pacientes con dispositivos
No cambie la forma de usar su dispositivo; lleve sus dudas a su médico
En su actualización del 29 de junio de 2026, Medtronic reiteró que el incidente no afectó a la capacidad de ningún dispositivo de Medtronic para funcionar de forma segura y prestar la terapia prevista. No es necesario cambiar la configuración del dispositivo ni saltarse citas por cuenta propia a causa de la noticia de la filtración.
Si le preocupa el dispositivo en sí, hable con su médico o con su clínica. La compañía pide a los médicos con preguntas que se pongan en contacto con su representante local de Medtronic.
Revise su carta para ver qué datos estuvieron implicados en su caso
La compañía empezó a contactar con las personas cuya información podría haberse visto afectada el 29 de junio de 2026. La carta de notificación presentada ante el Fiscal General de California está dirigida a pacientes con un dispositivo médico de Medtronic. Las consultas se dirigen al (888) 289-6806 (de lunes a viernes, de 9 a. m. a 9 p. m. ET).
Inscríbase en los servicios gratuitos de 24 meses antes de su fecha límite
La carta ofrece 24 meses de monitorización de crédito, monitorización de la dark web y servicios de restauración por robo de identidad sin coste. La fecha límite de inscripción y el código de activación aparecen impresos en su propia carta. La monitorización le avisa después de que algo ocurre, así que combínela con el siguiente paso.
Proteja el SSN: congele el crédito en las tres agencias y obtenga un PIN IP del IRS
El bloqueo de crédito es gratuito y debe solicitarse en cada una de Equifax, Experian y TransUnion. Un PIN IP del IRS es un número de seis dígitos que impide que otra persona presente una declaración de impuestos con su SSN. Para la lista completa de pasos en EE. UU., incluidos los niños y los familiares, consulte qué deben hacer los miembros de DentaQuest.
Se implicó información relacionada con la salud, así que revise sus extractos de beneficios
La FTC indica que una factura o un extracto de Explicación de Beneficios por servicios que no recibió, o un cobrador que le llama por una deuda médica que no debe, son señales de robo de identidad médica. Si encuentra alguna, recomienda solicitar copias de sus registros a los proveedores y aseguradoras implicados y notificar los errores al proveedor por escrito.
Verifique cualquier llamada o correo sobre 'su dispositivo' devolviendo la llamada
Los datos expuestos incluyen información de contacto y relacionada con la salud, por lo que el hecho de que usted use un dispositivo puede ser conocido. Mensajes como "su dispositivo necesita una actualización, verifique su identidad" o "necesitamos su SSN para su garantía" suenan creíbles porque conocen esos datos.
La propia carta advierte a las personas que tengan cuidado con correos electrónicos, mensajes de texto o llamadas inesperados que pidan información personal. Cuelgue y llame a un número que ya tenga: el de su carta, el de la tarjeta de identificación de su dispositivo o el de la clínica de su médico (véase ¿qué es el phishing?).
Sistemas de TI corporativos = accedidos
En la notificación: nombre, datos de contacto, fecha de nacimiento, SSN, información relacionada con la salud
Redes separadas, según la compañía
Productos (dispositivos)
No se ha identificado impacto en el funcionamiento seguro ni en la terapia
Fabricación y distribución
No se ha identificado impacto
Redes hospitalarias
Gestionadas por los equipos de TI de los propios hospitales
Qué hacen los pacientes
Seguir usando el dispositivo → proteger los datos filtrados (SSN, datos de contacto) con bloqueos de crédito y devolviendo las llamadas a números oficiales
Qué ocurrió (según las declaraciones de Medtronic y las presentaciones estatales)
Lo que sigue procede de la declaración oficial de Medtronic (24 de abril de 2026, actualizada el 29 de junio) y de su presentación ante la SEC, la carta de notificación presentada ante el Fiscal General de California y la lista de filtraciones del Fiscal General de Indiana.
13 de abril de 2026
Según la carta de notificación, la fecha en que un actor no autorizado empezó a acceder a determinados sistemas de TI corporativos.15 de abril
La compañía tiene conocimiento de actividad inusual en determinados sistemas de TI corporativos e inicia una investigación con expertos externos en ciberseguridad.19 de abril
Según la carta de notificación, el último día del periodo de acceso.24 de abril
La compañía publica su declaración y la adjunta a un Formulario 8-K presentado ante la SEC el mismo día. Indica que no ha identificado ningún impacto en sus productos, en la seguridad de los pacientes, en las conexiones con clientes, en la fabricación y distribución, ni en sus sistemas de información financiera.29 de junio
La compañía actualiza su declaración y empieza a contactar con las personas afectadas. Los listados de Indiana y California llevan la misma fecha.
- Compañía
- Medtronic Inc. (fabricante estadounidense de dispositivos médicos; su matriz Medtronic plc presenta documentos ante la SEC)
- A qué se accedió
- Datos de determinados sistemas de TI corporativos
- Información implicada (carta de notificación)
- Nombre, datos de contacto, fecha de nacimiento, número de la Seguridad Social, información relacionada con la salud
- Por qué conservaba los datos (carta de notificación)
- Para pacientes con un dispositivo de Medtronic, recopilados para proporcionar actualizaciones importantes relacionadas con el producto y cumplir obligaciones legales
- Sin impacto identificado
- Seguridad de los productos; seguridad de los pacientes, incluida la capacidad de cualquier dispositivo para funcionar de forma segura y prestar la terapia; fabricación y distribución; capacidad para atender las necesidades de pacientes y clientes
- Publicación
- La compañía afirma que no tiene pruebas de que la información se haya publicado o expuesto en Internet
- Respuesta de la compañía
- Contención, protocolos de respuesta a incidentes, expertos externos, salvaguardas adicionales. Afirma que ha trabajado con las fuerzas del orden y que está notificando a las autoridades reguladoras pertinentes
- Contacto
- (888) 289-6806 (de lunes a viernes, de 9 a. m. a 9 p. m. ET)
Cómo leer las cifras y la localización geográfica
Usamos 3.834.294, la cifra de la lista del Fiscal General de Indiana. Circulan en línea cifras mayores, pero proceden de la parte que afirma haber sustraído los datos, y la compañía no las ha confirmado.
La compañía tampoco ha dicho si se vio afectada alguna persona fuera de EE. UU. Las notificaciones y presentaciones que encontramos son ante autoridades estatales de EE. UU., y no encontramos ninguna notificación dirigida a usuarios de dispositivos en Japón.
¿Por qué un fabricante de dispositivos tiene su SSN?
Muchos pacientes preguntarán por qué una empresa que no es su hospital tiene su número de la Seguridad Social. La propia carta de notificación responde en parte: los datos de los pacientes se recopilan para proporcionar actualizaciones importantes relacionadas con el producto y cumplir obligaciones legales.
Parte de ese contexto es el rastreo de dispositivos en EE. UU. Las normas de la FDA (21 CFR Parte 821) cubren dispositivos sujetos a una orden de la FDA que cumplen criterios como estar implantados durante más de un año o tener probabilidades de causar graves consecuencias adversas para la salud si fallan. En esos casos, el fabricante debe poder rastrear el dispositivo desde su fábrica hasta el paciente.
El objetivo es que funcionen medidas como las retiradas de productos y la notificación a los pacientes. Los registros exigidos incluyen el nombre del paciente, su dirección, su número de teléfono y su número de la Seguridad Social (si está disponible), junto con el médico que lo prescribe.
Esta es una descripción general de las normas. La compañía no ha dicho qué registros estaban en los sistemas afectados. Pero el panorama para los pacientes está claro.
Datos de pacientes que tiene el fabricante, separados del dispositivo
- Nombre, dirección, teléfono (registro del dispositivo, tarjeta de identificación, garantía y soporte)
- Fecha de nacimiento y SSN (registros de identidad y legales)
- Información relacionada con la salud (qué dispositivo usa, por ejemplo)
- Si se exponen, pueden usarse para suplantación y estafas que suenen bien informadas
El dispositivo en sí
- Cómo funciona el dispositivo y presta la terapia
- Las debilidades del dispositivo se gestionan mediante la información de seguridad de productos del fabricante y su clínica
- En este caso, la compañía afirma que no ha identificado impacto en el funcionamiento seguro
- Una lista de pacientes expuesta no otorga, por sí sola, a nadie el control de un dispositivo
Opinión de este sitio: en lugar de darse de baja, impida que los datos filtrados se usen indebidamente
Las normas de la FDA permiten al paciente negarse a facilitar su nombre, su SSN y otra información identificativa para el rastreo (21 CFR 821.55). Retirarse es una decisión que debe tomar con su médico, no a raíz de la filtración por sí sola. El rastreo existe para que las retiradas y los avisos de seguridad le lleguen a usted, y el riesgo de que un aviso no le llegue, a diferencia del riesgo de un SSN expuesto, no puede cubrirse con un bloqueo ni con un PIN.
En cambio, actúe sobre cada tipo de dato filtrado.
・El SSN: inutilícelo con un bloqueo de crédito y un PIN IP del IRS
・Datos de contacto e información relacionada con la salud: trate cualquier contacto que mencione su dispositivo como algo que hay que verificar
・Datos del registro: mantenga sus datos actualizados cada vez que se mude o cambie de número de teléfono
Recordar que la seguridad del dispositivo es una cuestión para su médico, mientras que los datos personales filtrados se protegen con bloqueos y pasos similares, le ayudará a no entrar en pánico.
Para fabricantes y empresas que custodian datos de pacientes
La compañía afirma que sus redes de productos, de fabricación y de TI corporativa están separadas. Es un diseño importante para la seguridad de los dispositivos, pero los datos de pacientes afectados eran los datos custodiados en TI corporativa. Para los datos de pacientes que se encuentran fuera del producto, hay tres aspectos que conviene revisar.
Cuente dónde están los datos de pacientes fuera del producto
Registro del dispositivo, garantía, líneas de soporte, cuentas en aplicaciones, estudios clínicos, marketing. Enumere dónde se encuentran los datos de pacientes, incluidos SSN o diagnósticos, en lugares que las revisiones de seguridad de producto no cubren.
El enfoque es el mismo que en un inventario de seguridad: empiece por anotar dónde están, cuántos registros hay y quién puede verlos.
Separe los casos en que el SSN es necesario de aquellos en que no lo es
Distinga los registros exigidos por ley del trabajo, como las llamadas de soporte, que puede hacerse con un nombre y un número de serie del dispositivo, y reduzca el número de sistemas que almacenan SSN. Los datos que no se poseen no pueden filtrarse.
Prepare de antemano la respuesta a '¿es seguro mi dispositivo?'
La declaración de la compañía abordó el impacto en productos y en la seguridad de los pacientes desde la primera comunicación. Las organizaciones con productos orientados a pacientes deben asumir que, tras un incidente en la TI corporativa, lo primero que quieren saber los pacientes es si su dispositivo es seguro, y estar preparadas para explicar la base de la respuesta (como la separación de redes).
Para el enfoque general, consulte la base mínima de seguridad para organizaciones.
Fuentes (registro público)
Los hechos de este artículo se basan en la siguiente información pública. No se utilizan las cifras que afirma la parte que dice haber sustraído los datos, ni las estimaciones externas.
- Medtronic, "Medtronic statement on unauthorized system access" (24 de abril de 2026, actualizada el 29 de junio) — news.medtronic.com
- Medtronic plc, Formulario 8-K (24 de abril de 2026, Anexo 99.1) — sec.gov
- Fiscal General de California, listado de filtraciones de Medtronic Inc. (carta de notificación de muestra, 29 de junio de 2026) — oag.ca.gov
- Fiscal General de Indiana, "Data Breach Year to Date Report 2026" (Medtronic Inc: 3.834.294 afectados; notificaciones enviadas el 29 de junio de 2026) — in.gov
- Medtronic, "Product security" (información de seguridad de productos y contactos) — medtronic.com
- Código de Regulaciones Federales, 21 CFR Parte 821 (Rastreo de dispositivos médicos: 821.1, 821.25, 821.55) — ecfr.gov
- Comisión Federal de Comercio (FTC), "What To Know About Medical Identity Theft" — consumer.ftc.gov / "Credit Freezes and Fraud Alerts" — consumer.ftc.gov / IdentityTheft.gov
- Servicio de Impuestos Internos (IRS), "Get an identity protection PIN" — irs.gov
Historial de actualizaciones
2026-09-30: Primera versión, basada en la declaración de Medtronic (24 de abril de 2026, actualizada el 29 de junio) y en su presentación ante la SEC, la información pública de los fiscales generales de California e Indiana, las orientaciones de la FTC y del IRS, y las normas de la FDA. La actualizaremos si la compañía publica más información.
Lea a continuación
- La lista completa de pasos en EE. UU. (bloqueos, PIN IP, niños): La filtración de DentaQuest (SSN y números de Medicaid)
- Dónde denunciar cuando se filtra un número de licencia de conducir: La filtración de AssuranceAmerica (números de licencia de conducir)
- Una notificación de una empresa con la que nunca trató: La filtración de Aesto Health (un archivo de historiales médicos)
- Estafas que siguen a una filtración: ¿Qué es el phishing?
- Otros incidentes de 2026: Lista de filtraciones y ciberataques (Japón y en el mundo)
- Para operadores: La base mínima de seguridad para organizaciones / Inventario de seguridad