Para: personas que recibieron un aviso por la filtración de 2023 de Perry Johnson & Associates (PJ&A), y organizaciones sanitarias que externalizan la transcripción, la codificación o la facturación. Este artículo se basa en los comunicados de prensa de los fiscales generales de Nueva York, Connecticut y Nueva Jersey, y no aborda técnicas de ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
- A quién afecta
personas que recibieron un aviso por la filtración de 2023 de Perry Johnson & Associates (PJ&A), y organizaciones sanitarias que externalizan la transcripción, la codificación o la facturación.
- Confirmado hasta ahoraVer la tabla ↓
- Personas afectadas
- Datos expuestos
- Aún sin confirmar
- El comunicado de Míchigan y su cifra
- Cómo trata el documento del acuerdo la responsabilidad de las empresas
- Cifras de afectados por organización sanitaria cliente
1 más
- Si al acuerdo siguen otros avisos o ayudas
- Qué hacer ahoraVer los pasos ↓
- Confirme que su congelación de crédito sigue activa
- Revise sus extractos de prestaciones por si figura atención que no recibió
- Dé por supuesto que se expusieron diagnósticos y resultados de pruebas, y prepárese ante amenazas
2 más
- Desconfíe de los mensajes que usan el acuerdo como pretexto
- Pregunte al proveedor que le avisó por qué esta empresa tenía sus datos
- Dónde verificarlo (fuente)Todas las fuentes ↓
- Fiscal General de Nueva York, «Attorney General James Secures Up to $10 Million and Critical Reforms From Companies That Failed to Protect Private Medical Data» (6 de noviembre de 2026)
- Última comprobación
- A 8 de noviembre de 2026
Próximos avisos y qué comprobamos
Los comunicados no dicen nada sobre información de seguimiento. A 8 de noviembre de 2026, este sitio había confirmado los comunicados de Nueva York, Connecticut y Nueva Jersey. No se pudo confirmar el comunicado de Míchigan.
Qué hacer hoy si recibió un aviso
Confirme que su congelación de crédito sigue activa
Los números de la Seguridad Social estaban entre los datos expuestos, así que este es el paso más eficaz. Puede solicitar una congelación de seguridad gratuita en Equifax, Experian y TransUnion. Si la solicitó tras el aviso de 2023, compruebe que no se haya levantado. La página de la Comisión Federal de Comercio de EE. UU. (FTC) de las fuentes explica cómo hacerlo.
Revise sus extractos de prestaciones por si figura atención que no recibió
Un nombre, una fecha de nacimiento, información del seguro y un número de cuenta hospitalaria juntos pueden usarse para recibir atención o facturar a nombre de otra persona. Revise la explicación de prestaciones de su aseguradora por si hay visitas, recetas o equipos que no reconoce. Si encuentra alguno, contacte con su aseguradora y con el proveedor que figure.
Dé por supuesto que se expusieron diagnósticos y resultados de pruebas, y prepárese ante amenazas
Los archivos de transcripción incluían resultados de pruebas y nombres de medicamentos. Si alguien dice conocer su diagnóstico y le pide dinero, no pague; hable con la FTC o con la policía. Los comunicados no dicen que haya ocurrido ningún contacto así. Es algo que puede ocurrir en general, así que conviene estar preparado.
Desconfíe de los mensajes que usan el acuerdo como pretexto
Los comunicados no dicen que se vaya a pagar a las víctimas. Una llamada o un mensaje sobre un «pago del acuerdo», una «comprobación de cuenta» o una «tarifa» es sospechoso desde el momento en que le llega sin que lo pida. Compruébelo abriendo usted mismo el sitio web oficial del fiscal general de su estado (cómo reconocerlos: ¿Qué es el phishing?).
Pregunte al proveedor que le avisó por qué esta empresa tenía sus datos
Según el comunicado de Nueva York, PJ&A prestaba servicios como codificación, facturación y grabación a organizaciones sanitarias de todo el país. Desde el punto de vista del paciente, es una empresa con la que nunca contrató. Puede preguntar al proveedor que le atendió o le avisó hasta dónde se compartieron sus datos con sus contratistas.
Qué ocurrió (según los comunicados de los fiscales generales)
Esta sección se basa en los comunicados del 6 de noviembre de 2026 de los fiscales generales de Nueva York, Connecticut y Nueva Jersey. Es la versión de los estados, no la de las empresas. Las empresas son Perry Johnson & Associates, Inc. (PJ&A), Perry Johnson, Inc. (PJI), Perry Johnson & Associates Coding, Inc., Perry Johnson & Associates Radiology, Inc. y Medical Transcription and Coding, Inc., a las que los comunicados llaman «las empresas Perry Johnson».
Credenciales de un empleado
Sin autenticación multifactor en el acceso remoto
↓→
Meses de acceso
Actividad registrada, sin alerta
↓→
Descubrimiento
Unos dos meses después, cuando los atacantes hicieron contacto
Es la versión de los estados, no la de las empresas.
Marzo de 2023
Según los estados, los atacantes usaron las credenciales de un empleado de PJ&A Coding para acceder a los sistemas de PJ&A.Meses siguientes
Los atacantes recopilaron contraseñas y accedieron a archivos sin cifrar (según los estados).Unos dos meses después
PJ&A se enteró de la filtración solo cuando los atacantes la contactaron (según los estados).6 de noviembre de 2026
Los fiscales generales de cuatro estados anunciaron el acuerdo.
- Empresas
- Perry Johnson & Associates, Inc. (PJ&A) y cuatro empresas afiliadas
- Filtración
- Marzo de 2023; unos 13,3 millones de personas en todo el país
- Cifras por estado
- Unos 4,2 millones de neoyorquinos; unos 539.669 en Nueva Jersey; unos 107.960 en Connecticut. Míchigan no confirmado
- Datos expuestos
- Nombres, fechas de nacimiento, domicilios, números de la Seguridad Social; números de cuenta hospitalaria, diagnósticos, información del seguro; información clínica de los archivos de transcripción (resultados de pruebas de laboratorio y diagnósticas, nombres de medicamentos)
- Importe del acuerdo
- Hasta 10 millones de dólares. Al menos 300.000 dólares en sanciones a los estados; otros 9.700.000 dólares que se deben a los estados si las empresas incumplen los términos del acuerdo
- Importes por estado
- Nueva York: al menos 100.000 dólares en sanciones y costas. Connecticut: 66.666 dólares. Nueva Jersey: no indicado en su comunicado
- Tipo de documento
- El comunicado de Nueva Jersey enlaza una Assurance of Voluntary Compliance (compromiso de cumplimiento voluntario). Los otros comunicados no nombran el documento en su texto
Las causas que citan los estados
Los comunicados describen las condiciones siguientes. Es la versión de los estados, no una declaración de las empresas.
| Elemento | Versión de los estados | Estado |
|---|---|---|
| Personas afectadas | Unos 13,3 millones en todo el país | Confirmado (estados) |
| Datos expuestos | Nombre, fecha de nacimiento, dirección, número de Seguro Social, número de cuenta hospitalaria, diagnóstico, seguro e información clínica | Confirmado (estados) |
| Entrada | Se usaron las credenciales de un empleado de PJ&A Coding | Versión de los estados |
| Acceso remoto | No se exigía autenticación multifactor | Versión de los estados |
| Archivos | Se accedió a archivos sin cifrar; se recopilaron contraseñas | Versión de los estados |
| Supervisión de registros | El software de PJI registró la actividad pero no estaba configurado para avisar al personal de seguridad | Versión de los estados |
| Descubrimiento | Unos dos meses después, cuando los atacantes contactaron con la empresa | Versión de los estados |
| Cómo se obtuvieron las credenciales | No figura en los comunicados | No indicado |
| Conservación de datos como causa | No se cita como causa; la conservación aparece solo en las reformas exigidas | No indicado |
| Si las empresas admitieron una infracción | No figura en los comunicados de Nueva York ni de Connecticut | No indicado |
Cómo leerlo: un acuerdo no es una sentencia de que se infringió la ley
El titular del comunicado de Nueva York describe a las empresas como que «Failed to Protect» (no protegieron) datos médicos privados, pero ninguno de los comunicados dice que las empresas infringieran la ley ni que admitieran responsabilidad. Este sitio no afirma que las empresas infringieran la ley más allá de lo que dicen los comunicados.
Qué deben hacer las empresas
Las reformas comunes a los comunicados son:
- Mantener un programa integral de seguridad de la información y un protocolo de respuesta a incidentes
- Implantar salvaguardas y políticas de autenticación multifactor, gestión de contraseñas, cifrado y gestión de activos
- Realizar evaluaciones de riesgos anuales conformes con la HIPAA
- Mantener políticas y procedimientos que regulen la recogida, el uso, la conservación y la eliminación de la información personal de salud
El comunicado de Nueva Jersey no describe un supervisor independiente ni un calendario de informes.
A qué puede llevar esta combinación de datos
En general, combinaciones como las siguientes pueden usarse de forma indebida. No significa que haya ocurrido aquí.
- Nombre + fecha de nacimiento + número de la Seguridad Social + domicilio: intentos de abrir cuentas o crédito, o de reclamar una devolución de impuestos de forma fraudulenta
- Nombre + información del seguro + número de cuenta hospitalaria: atención obtenida o facturada a nombre de otra persona
- Diagnósticos y nombres de medicamentos: contactos convincentes o amenazas que se apoyan en conocer el estado de salud de la persona
Qué pueden aprender las organizaciones sanitarias y los clientes
La versión de los estados contiene puntos que un cliente puede comprobar en la supervisión de sus propios contratistas. Esta sección se ciñe a lo publicado y lo convierte en elementos que verificar en sus propios contratos y sistemas.
- Autenticación multifactor en el acceso remoto. Los estados citan su ausencia. Confirme que su contratista la exige en todas las vías de entrada a sus sistemas (VPN, escritorio remoto, consolas de administración en la nube), mirando la configuración o un informe de auditoría y no el texto del contrato. Guía: Guía de autenticación multifactor.
- Pruebe adónde van las alertas de los registros, no solo que existan registros. Los estados dicen que la actividad se registró pero ninguna alerta llegó al personal de seguridad. Un primer paso es hacer una prueba, como un inicio de sesión desde un lugar inusual y una lectura masiva de archivos, y confirmar que alguien recibe el aviso.
- Fije en el contrato la conservación y la eliminación. La conservación no se cita como causa, pero sí figura en las reformas exigidas. Indique cuánto tiempo conserva el contratista el audio y los archivos transcritos, cuándo los elimina, y pida prueba de la eliminación. Conservar menos significa tener menos que perder.
- Busque almacenes de archivos sin cifrar. Los estados dicen que se accedió a archivos sin cifrar. Pregunte a su contratista si están cifradas las ubicaciones que contienen información clínica.
- Conozca a los contratistas de su contratista. Un paciente puede no tener contrato con una empresa y, aun así, sus datos llegan a ella. Acuerde de antemano a quién subcontrata su contratista y quién es responsable de la notificación.
Fuentes (registros públicos)
Los hechos de este artículo se basan en las declaraciones públicas siguientes.
- Fiscal General de Nueva York, «Attorney General James Secures Up to $10 Million and Critical Reforms From Companies That Failed to Protect Private Medical Data» (6 de noviembre de 2026) — ag.ny.gov
- Fiscal General de Connecticut, comunicado de prensa (6 de noviembre de 2026) — portal.ct.gov
- Fiscal General de Nueva Jersey, comunicado de prensa (6 de noviembre de 2026) — njoag.gov
- The Record, «Medical services company settles with 4 state AGs» (reportaje de prensa, de apoyo) — therecord.media
- Comisión Federal de Comercio de EE. UU., «Credit Freezes and Fraud Alerts» — consumer.ftc.gov
Historial de actualizaciones
2026-11-08: Primera versión, basada en los comunicados del 6 de noviembre de 2026 de los fiscales generales de Nueva York, Connecticut y Nueva Jersey. No se pudo confirmar el comunicado de Míchigan. El artículo se actualizará cuando los estados o las empresas publiquen más información.
Lectura recomendada
- El panorama general de las filtraciones sanitarias en EE. UU.: US healthcare data breaches (2026) (en inglés)
- Una empresa que conserva historiales médicos antiguos: The Aesto Health breach (en inglés)
- Otro caso grande relacionado con la sanidad: The AdaptHealth breach (en inglés)
- Proteger el acceso remoto: Guía de autenticación multifactor
- Reconocer las estafas posteriores: ¿Qué es el phishing?