Para: personas que recibieron una carta de aviso de Photon Health o de Blueberry Pediatrics, y cualquiera que gestione una herramienta de análisis autoalojada. Este artículo se basa en el aviso de Photon Health, la lista de filtraciones de la fiscalía general de Oregón y la carta de muestra para consumidores de Blueberry Pediatrics, y no aborda técnicas de ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
A 31 de octubre de 2026Aún no se sabe
- Número total de personas afectadas en Photon Health
- Cómo se relaciona el incidente con los avisos de otras organizaciones
- Si la empresa publica más detalles sobre la investigación
Photon Health publicó su aviso el 8 de octubre de 2026 y no ha dicho cuántas personas están afectadas. La cifra de Blueberry Pediatrics (340.915) procede de su informe a la fiscalía general de Oregón y es de una empresa distinta.
Qué deben hacer hoy los afectados
No actúe según llamadas, mensajes de texto o correos sobre una receta, un reembolso o una reclamación al seguro
Los datos combinan su nombre, dirección, número de teléfono y fecha de nacimiento con información de medicamentos. Eso basta para que quien llama resulte creíble.
Si alguien le contacta por un «problema con la receta», un «reembolso», una «cuenta de farmacia» o una reclamación al seguro, cuelgue y devuelva la llamada a un número que encuentre usted mismo, como el de su tarjeta del seguro o el del sitio web de su farmacia. Véase ¿Qué es el phishing? para conocer el patrón.
No dé nunca un número de la Seguridad Social, un número de tarjeta ni un código de un solo uso a quien le contactó
Photon dice que los números de la Seguridad Social y la información financiera no se vieron afectados. Quien los pide de todos modos no sigue ningún paso que Photon haya descrito.
Use la oferta de supervisión de crédito solo mediante su carta
Photon dice que ofrece gratis supervisión de crédito y protección contra el robo de identidad durante 12 a 24 meses. Los pasos de inscripción están en la carta de notificación; el aviso web no los repite. No se inscriba mediante un enlace de un correo o mensaje de texto inesperado.
Revise los extractos de su aseguradora por si hay servicios que no recibió
Si los detalles de su plan de salud figuraban entre los datos (aparecen en la carta de Blueberry Pediatrics, no en el aviso de Photon), lea los extractos de explicación de beneficios por si hay cargos que no reconozca e informe a su aseguradora.
Pregunte a la empresa solo por el número de su aviso
El aviso de Photon da una línea telefónica: 1-844-772-5746, de 8:00 a 20:00 ET, de lunes a viernes, excepto festivos. Use los datos de contacto del aviso o de la carta, no los que le den en un mensaje que haya recibido.
Qué ocurrió (según los avisos)
Todo lo que sigue es como lo indica el aviso de Photon Health del 8 de octubre de 2026, salvo que se nombre otra fuente.
21 de ago. de 2026
Photon Health dice que tuvo conocimiento del incidente.4 de sep.
Photon dice que terminó su revisión de los datos afectados.8 de oct.
Photon publicó su aviso y notifica a las personas cuya información puede haberse visto implicada.
- Quiénes
- Personas cuya información puede haberse visto implicada; no se indica la cifra
- Datos
- Nombre, dirección, número de teléfono, fecha de nacimiento, información de medicamentos recetados; varía según la persona
- No afectados
- Números de la Seguridad Social e información financiera, que la empresa dice que no recoge ni almacena
- Causa (versión de la empresa)
- Un tercero no autorizado explotó una vulnerabilidad desconocida hasta entonces en la herramienta de análisis (Metabase), que Photon ejecuta en su propia infraestructura para inteligencia de negocio, métricas de producto y paneles de clientes
- Uso indebido
- Sin pruebas de uso indebido ni de intento de uso indebido de la información afectada
- Respuesta
- Contrató a especialistas en ciberseguridad para investigar, contener y remediar; la empresa dice que el entorno de su herramienta de análisis es seguro y que revisa sus salvaguardas técnicas
- Apoyo
- 12 a 24 meses de supervisión de crédito y protección contra el robo de identidad gratuitas; línea telefónica 1-844-772-5746
Una divulgación relacionada: Blueberry Pediatrics (340.915 registrados)
La lista de filtraciones de la fiscalía general de Oregón muestra un informe de Blueberry Pediatrics fechado el 10 de octubre de 2026, con 340.915 en «Number Affected» (la página dice que son las cifras en la presentación inicial), un periodo de la vulneración del 10 al 22 de agosto de 2026, una fecha de descubrimiento del 26 de agosto y avisos enviados el 9 de octubre. La lista no desglosa la cifra de Oregón. El aviso modelo da el 22 de agosto como fecha de descubrimiento, así que las dos fuentes difieren. Los avisos de Blueberry van a padres y tutores, porque los pacientes son niños.
La carta de muestra para consumidores de Blueberry (presentada ante la fiscalía general de California; el modelo usa el nombre Blueberry Medical) dice que un delincuente explotó una vulnerabilidad en Metabase, uno de sus proveedores de tecnología, y robó una copia de algunos datos de pacientes. Enumera nombre, nombre del plan de salud y número de póliza, fecha de nacimiento e información sanitaria como historias clínicas, fechas de servicio, códigos médicos y cargos por servicios. Dice que no se incluyeron números de la Seguridad Social ni información de pago, y que las fotos y los vídeos enviados para el diagnóstico se almacenan por separado y no se vieron comprometidos.
Es la cifra de otra empresa. No la sume a la de Photon, que no se ha revelado.
La lista de filtraciones de la fiscalía general de California también tiene una entrada de Photon Health que da el 10 de agosto de 2026 como fecha de la vulneración. Esa fecha difiere del 21 de agosto del aviso de Photon, que es cuando la empresa dice que tuvo conocimiento. Este artículo usa las fechas tal como las indica cada fuente.
Qué sabemos y qué no
A 31 de octubre de 2026. Esta tabla se reescribirá cuando se publique más.
| Elemento | Lo anunciado | Estado |
|---|---|---|
| Acceso no autorizado a una herramienta de análisis de Photon | Explotación de una vulnerabilidad desconocida hasta entonces en la herramienta de análisis | Confirmado (empresa) |
| Datos implicados | Nombre, dirección, número de teléfono, fecha de nacimiento, información de medicamentos recetados | Confirmado (empresa) |
| Número de la Seguridad Social, información financiera | No los recoge ni los almacena la empresa | Excluidos (empresa) |
| Uso indebido de los datos | Sin pruebas de uso indebido ni de intento de uso indebido | Sin pruebas (empresa) |
| Personas afectadas en Photon | No se indica en el aviso | No revelado |
| Fecha en que la empresa tuvo conocimiento | 21 de agosto de 2026 (la lista de California muestra una fecha de vulneración del 10 de agosto) | Confirmado (empresa); las fechas difieren según la fuente |
| Personas afectadas en Blueberry Pediatrics | 340.915 (lista de la fiscalía general de Oregón) | Confirmado (otra empresa) |
| Contraseñas, detalles del plan de salud en Photon | No figuran en el aviso de Photon | No indicado |
| Conexión entre los avisos de Photon y de Blueberry | No se menciona en los dos documentos revisados | No indicado |
Para qué puede usarse la combinación de datos
Los nombres, las direcciones, los números de teléfono y las fechas de nacimiento están disponibles en muchas filtraciones pasadas. Lo inusual aquí es la información de medicamentos recetados junto a ellos, que hace que una llamada fraudulenta sobre un fármaco, una repetición de receta o una reclamación al seguro suene real. Esto es lo que suele ocurrir con este tipo de datos; no es una afirmación de que haya ocurrido en este caso.
Nombre + número de teléfono + medicación
↓→
Llamadas convincentes sobre una repetición de receta o una reclamación al seguro
→ Cuelgue; llame a un número que busque usted
Nombre + dirección + fecha de nacimiento
↓→
Cartas, mensajes de texto o correos falsos que usan sus datos
→ No siga enlaces; compruebe en el sitio oficial
No afectados, según Photon
- Número de la Seguridad Social
- Información financiera
Pueden haberse visto implicados (varía según la persona)
- Nombre y dirección
- Número de teléfono
- Fecha de nacimiento
- Información de medicamentos recetados
Cómo leerlo: «sin pruebas de uso indebido» no es «seguro de ahora en adelante»
Photon dice que no tiene pruebas de uso indebido ni de intento de uso indebido. Las fechas de nacimiento no cambian, así que los datos pueden usarse en mensajes meses o años después. Trate con cuidado los contactos que usen este incidente como motivo para llegar a usted.
Para quienes gestionan herramientas de análisis
Photon dice que la herramienta era una que gestiona ella misma, para informes y paneles de clientes, y que se explotó una vulnerabilidad desconocida hasta entonces. Esta sección trata solo lo que respaldan los hechos revelados. Los detalles del fallo están en la alerta de este sitio sobre CVE-2026-72898 (en inglés), y otras organizaciones afectadas por el mismo producto están en el artículo sobre las filtraciones por la vulnerabilidad de Metabase (en inglés).
Enumere los datos que puede leer su herramienta de análisis
Una herramienta así suele estar conectada a bases de datos de producción. Lo que puede leer es lo que puede filtrarse si se compromete. En el caso de Photon, datos como la información de medicamentos eran accesibles desde una herramienta de informes. Compruebe qué tablas y columnas necesita realmente la herramienta para el análisis y recorte el resto.
Sepa cuáles de sus herramientas gestiona usted y cuáles un proveedor
Photon describe la herramienta como autoalojada, lo que significa que las actualizaciones y la exposición son tarea del operador. Mantenga una lista de las herramientas autoalojadas que ejecuta y una forma de enterarse de sus correcciones de seguridad (contexto: osv-scanner).
Planifique el tiempo entre el incidente y el aviso
Según la empresa, pasaron unas siete semanas entre el conocimiento (21 de agosto) y el aviso (8 de octubre). Decida de antemano quién revisa los datos afectados y quién aprueba los avisos, para que la revisión no sea el cuello de botella.
Fuentes (registros públicos)
Los datos de este artículo proceden de las fuentes públicas siguientes. No se especula sobre causas y cifras no reveladas.
- Photon Health, Notice of Data Security Incident (8 de octubre de 2026) — PR Newswire
- Fiscalía General de California, informe de filtración de datos de Photon Health — oag.ca.gov
- Departamento de Justicia de Oregón, lista de avisos de filtración de datos (Blueberry Pediatrics, informado el 10 de octubre de 2026) — justice.oregon.gov
- Blueberry Pediatrics (Blueberry Medical), aviso modelo para consumidores presentado ante la fiscalía general de California — oag.ca.gov (PDF)
Historial de actualizaciones
2026-10-31: Primera versión, basada en el aviso de Photon Health del 8 de octubre y en los listados de los reguladores anteriores. Photon no ha revelado una cifra; este artículo se actualizará si lo hace.
Lectura recomendada
- El mismo fallo, otras organizaciones: Filtraciones por la vulnerabilidad de Metabase (Trezor, Framework, n8n y otras) (en inglés)
- Llamadas y mensajes fraudulentos: ¿Qué es el phishing? / Conceptos básicos de seguridad del smartphone
- Otro caso sanitario en EE. UU.: Filtración de datos de AdaptHealth / Filtraciones sanitarias en EE. UU. en 2026 (en inglés)
- Otros incidentes de 2026: lista de filtraciones y ciberataques (Japón y en el mundo)