Para: cualquier persona en EE. UU. que haya recibido atención y haya recibido un "aviso de filtración de datos" de una empresa que no reconoce, sus familias, y el personal de proveedores y empresas que confían datos de pacientes a compañías externas.
Este artículo compara seis casos usando los avisos y cartas de cada organización, el portal de filtraciones de la Oficina de Derechos Civiles del Departamento de Salud y Servicios Humanos de EE. UU. (HHS), los expedientes de los fiscales generales estatales y las normas federales. No aborda las técnicas de ataque.
Primero: si recibiste una carta de una empresa que no conoces
Antes de tirarla, busca el nombre de un proveedor sanitario, plan o empleador que conozcas
La carta de un proveedor suele nombrar al proveedor que realmente usaste, o indica que se envía en nombre de ese proveedor.
La carta modelo de Xsolis, por ejemplo, empieza explicando que tu proveedor sanitario utiliza a un proveedor, Xsolis, para servicios de gestión de casos y de utilización. Baylor Genetics dice que recibió la información de los pacientes de sus clientes externos, como los proveedores que solicitaron las pruebas.
Busca primero un nombre de hospital, aseguradora o empleador que reconozcas.
Busca tú mismo en el portal de filtraciones del HHS
Escribe ocrportal.hhs.gov en tu navegador por tu cuenta (no a través de un enlace o código QR de la carta), elige "View HIPAA Breach Reports" y busca la empresa. El listado muestra el nombre de la entidad, el estado, el tipo (proveedor o asociado comercial), el número de personas afectadas y la fecha de envío.
Solo incluye filtraciones que afectan a 500 personas o más, y a veces la filtración de un proveedor se notifica con el nombre del proveedor sanitario, así que la ausencia por sí sola no demuestra que la carta sea falsa.
Compara con la carta modelo en un listado del fiscal general estatal
El listado de filtraciones del Fiscal General de California (oag.ca.gov/privacy/databreach/list) publica la carta de notificación modelo que presenta cada empresa. Cinco de nuestros seis casos aparecen allí (no pudimos encontrar a NYC Health + Hospitals al comprobarlo).
Pon tu carta junto a la modelo y compara el número de atención telefónica, el dominio del sitio de inscripción al seguimiento de crédito y la fecha límite de inscripción. Las cartas modelo son plantillas con nombres y códigos en blanco, así que comprueba si el formato del texto y los datos de contacto coinciden.
Introduce tu número de Seguro Social solo en un sitio de inscripción que hayas verificado
La inscripción en un seguimiento de crédito legítimo pide tu número de Seguro Social, y justo por eso nunca lo introduzcas en un sitio que no hayas verificado.
Los códigos QR también aparecen en cartas legítimas (las muestras de Baylor Genetics y CareCloud tienen códigos QR de inscripción), así que no juzgues por la presencia de un código QR. Juzga si el dominio de destino coincide con la muestra presentada ante el estado. No "confirmes" tu número de Seguro Social, de tarjeta o tu contraseña en una llamada o mensaje que no hayas iniciado tú (ver ¿qué es el phishing?).
Una vez comprobado, bloquea el uso indebido de tus datos con un bloqueo de crédito y más
Inscríbete en el seguimiento antes de la fecha límite y después:
- Si estuvo implicado tu número de Seguro Social, solicita un bloqueo de crédito en Equifax, Experian y TransUnion
- Solicita también un IRS IP PIN (un número que impide que alguien presente declaraciones de impuestos a tu nombre)
- Revisa tus estados de Explicación de Beneficios por atención que no recibiste
La lista completa para EE. UU., incluidos los menores, está en una página en nuestro artículo sobre DentaQuest. Si estuvieron implicadas credenciales de cuentas en línea, como indica NYC Health + Hospitals, cambia también esas contraseñas.
Señales de un aviso legítimo
- Menciona tu proveedor, aseguradora o empleador y explica la relación de la empresa con él
- La empresa aparece en el portal del HHS o en un listado de un fiscal general estatal
- El número de teléfono y el sitio de inscripción coinciden con la carta modelo presentada ante el estado
- Ofrece seguimiento de crédito gratuito con fecha límite de inscripción (te inscribes tú mismo)
Señales de estafa
- Una llamada, mensaje o correo te pide que "confirmes" tu número de Seguro Social, de tarjeta o tu contraseña
- Pide un pago o una tarifa
- Los datos de contacto o los dominios no coinciden con los listados públicos ni con la carta modelo
- Te presiona para actuar hoy (los plazos reales de inscripción suelen ser de meses)
Los seis casos de un vistazo
Basado en el portal de filtraciones de la Oficina de Derechos Civiles del HHS (consultado el 30 de septiembre de 2026) y en el aviso de cada organización. Las cifras son las del portal del HHS.
| Organización | Qué hace | Tipo de entidad en HHS | Afectados (HHS) | Presentado ante HHS | Periodo de acceso (según la organización) |
|---|---|---|---|---|---|
| NYC Health + Hospitals | Sistema hospitalario público de la ciudad de Nueva York | Proveedor sanitario | 1.800.000 | 24 mar 2026 | ~25 nov 2025 a 11 feb 2026 |
| Navia Benefit Solutions | Administración de beneficios (HRA, FSA, COBRA) | Asociado comercial | 2.151.330 | 18 mar 2026 | 22 dic 2025 a 15 ene 2026 |
| Xsolis | Gestión de casos y de utilización para proveedores | Asociado comercial | 1.396.519 | 5 jun 2026 | Resultado de un ataque de phishing del 20 ene 2026 (conocido el 22 ene) |
| Unlimited Technology Systems | Software de gestión de consultas para proveedores | Asociado comercial | 3.803.750 | 21 jul 2026 | 5 a 10 oct 2025 |
| CareCloud | Historiales médicos electrónicos y otra TI sanitaria | Asociado comercial | 3.756.469 | 24 jul 2026 | 10 a 16 mar 2026 |
| Baylor Genetics | Pruebas genéticas y de laboratorio clínico | Proveedor sanitario | 2.810.878 | 14 ago 2026 | 11 a 17 jun 2026 |
Cómo leer las cifras
Las cifras del portal del HHS son lo que la entidad informó en su momento y pueden actualizarse más tarde. En el caso de Navia, el portal del HHS muestra 2.151.330, mientras que la prensa informa de que su comunicación ante el fiscal general de Maine indicaba 2.697.540 (no pudimos abrir directamente el listado de Maine).
El aviso de NYC Health + Hospitals no da cifra; 1.800.000 es la cifra del portal del HHS. Este artículo no clasifica los seis casos según lo "graves" que fueran.
Tú (paciente o afiliado)
Solo conoces el hospital, el plan o el empleador
↓ atención / inscripción→
Proveedor, plan o empleador
Delega parte del trabajo en empresas externas
↓ proveedor externo→
Proveedor externo o laboratorio
Historial electrónico / gestión de consultas / gestión de utilización / administración de beneficios / pruebas de laboratorio
El aviso que recibes
Proveedor externo → informa al proveedor sanitario → aviso para ti (puede llegar con un nombre que no conoces)
Cómo verificar (ábrelo tú mismo)
Portal de filtraciones del HHS (ocrportal.hhs.gov) / listados de filtraciones de fiscales generales estatales y cartas modelo
13 y 18 mar 2026
Navia inicia un aviso sustitutivo (aviso por medios distintos de cartas individuales) y después envía avisos por escrito desde aproximadamente el 18 de marzo. Fecha de presentación ante HHS: 18 de marzo.24 mar
NYC Health + Hospitals publica su aviso de filtración (misma fecha que su presentación ante HHS).27 mar
CareCloud presenta ante la SEC un Formulario 8-K que informa de la interrupción del 16 de marzo.5 jun
Xsolis anuncia el incidente en un comunicado de prensa (misma fecha que su presentación ante HHS).21 jul
Fecha de presentación ante HHS de Unlimited Technology Systems.24 jul
Fecha de presentación ante HHS de CareCloud (3.756.469 afectados).14 ago
Las cartas de Baylor Genetics tienen fecha (misma fecha que su presentación ante HHS).
Lo que ha revelado cada organización
Basado en el aviso, las cartas y las comunicaciones ante los estados de cada organización. Los proveedores clientes, así como los investigadores y las empresas de servicios que contrataron las organizaciones, no se nombran.
- Qué ocurrió
- Detectó actividad sospechosa el 2 de febrero de 2026. Afirma que un actor no autorizado accedió a sistemas y copió archivos entre aproximadamente el 25 de noviembre de 2025 y el 11 de febrero de 2026
- Cómo se obtuvo el acceso (según su versión)
- Afirma que el actor no autorizado pudo obtener acceso debido a una brecha de seguridad en un proveedor externo
- Información
- Según el aviso, dependiendo de la persona, la información puede haber incluido información de seguro médico, información médica (diagnósticos, medicamentos, resultados de pruebas, imágenes y más), información biométrica (huellas dactilares y palmares), información de facturación y pago, números de Seguro Social, licencia de conducir y otros números de identificación oficial, números de identificación fiscal o números de protección de identidad emitidos por el IRS, geolocalización precisa, números de tarjeta, información de cuentas financieras o credenciales, y credenciales de cuentas en línea
- Respuesta
- Reglas de detección reforzadas y políticas de gestión de acceso remoto actualizadas. 24 meses de seguimiento de crédito gratuito. Línea de ayuda (844) 403-4518
- Qué ocurrió
- Detectó actividad sospechosa el 23 de enero de 2026. Afirma que un actor no autorizado accedió y pudo adquirir información entre el 22 de diciembre de 2025 y el 15 de enero de 2026
- Información
- Nombre, fecha de nacimiento, número de Seguro Social, número de teléfono, correo electrónico e información del plan de salud. El plan de salud se refiere solo a la participación en HRA, FSA o COBRA, limitado a datos como fechas de baja y de elección; la empresa dice que no se revelaron datos de reclamaciones ni financieros
- Aviso
- Aviso sustitutivo desde el 13 de marzo y aviso por escrito desde aproximadamente el 18 de marzo (según su comunicación ante el fiscal general de Nebraska). 12 meses de seguimiento de crédito gratuito. Línea de ayuda (844) 443-1645
- Qué ocurrió
- Tuvo conocimiento el 22 de enero de una actividad no autorizada derivada de un ataque de phishing dirigido el 20 de enero de 2026, cortó el acceso y aisló los equipos y las cuentas de usuario afectados. El actor adquirió un número limitado de archivos
- Información
- Según el aviso, dependiendo de la persona, la información puede haber incluido nombre, dirección, fecha de nacimiento, información de seguro médico, número de Seguro Social e información sobre tratamientos médicos
- Respuesta
- Según su carta modelo, restablecimiento de contraseñas de todos los usuarios y cuentas clave, mayor monitorización y gestión reforzada de credenciales, entre otras medidas. 12 meses de seguimiento de crédito gratuito. Línea de ayuda (844) 403-4585
- Qué ocurrió
- Detectó actividad no autorizada en su centro de datos comercial el 19 de octubre de 2025. Afirma que un actor no autorizado obtuvo una copia de cierta información personal entre el 5 y el 10 de octubre de 2025
- Información
- Según el aviso, dependiendo de la persona, la información puede haber incluido información de seguro médico y de saldo del paciente, información médica (números de historial, fechas de servicio, diagnósticos), documentos escaneados (licencias de conducir u otra identificación oficial, tarjetas de seguro, formularios de admisión), número de Seguro Social, fecha de nacimiento y datos de contacto. La empresa dice que no incluye historiales médicos completos, imágenes médicas, ni datos de tarjetas o cuentas bancarias
- Respuesta
- Dos años de seguimiento de crédito gratuito. Línea de ayuda (844) 576-3063
- Qué ocurrió (8-K)
- El 16 de marzo de 2026, una interrupción temporal de la red en su división CareCloud Health afectó parcialmente a la funcionalidad y al acceso a datos en uno de sus seis entornos de historiales electrónicos durante aproximadamente 8 horas, restaurado esa misma noche
- Conclusiones (carta)
- Entre el 10 y el 16 de marzo de 2026, un tercero no autorizado accedió a uno de sus entornos en la nube y afirmó haber extraído datos de bases de datos de ese entorno. La empresa identificó la información afectada el 24 de junio
- Información
- La carta enumera el nombre completo más elementos que varían según la persona. Según informes de prensa, sus comunicaciones ante los estados enumeran números de Seguro Social, licencia de conducir y otros números de identificación oficial, números de cuentas financieras, números de tarjeta, e información médica y de seguro médico
- Respuesta
- 12 o 24 meses de seguimiento de crédito gratuito (fecha límite de inscripción de la muestra: 17 de diciembre de 2026)
- Qué ocurrió
- Identificó actividad sospechosa en o alrededor del 15 de junio de 2026. Afirma que un tercero no autorizado accedió a partes de su red y de sus datos entre el 11 y el 17 de junio de 2026. Su revisión de los afectados se completó en o alrededor del 30 de julio
- Información (pacientes)
- Nombre más fecha de nacimiento, información de pruebas médicas, resultados de pruebas de laboratorio y, potencialmente, información de seguro médico. Números de Seguro Social de un subconjunto muy limitado de pacientes. Para algunos empleados: números de Seguro Social, números de identificación oficial e información de cuentas financieras
- Respuesta
- 12 o 24 meses de seguimiento de crédito gratuito (fecha límite de inscripción el 14 de noviembre de 2026). Línea de ayuda 1-866-200-0985
Opinión de este sitio: piensa más allá de a quién diste tus datos, en los proveedores que hay detrás
Los pacientes entregaron su información a un hospital, un plan o un empleador. Sin embargo, cinco de estos seis casos ocurrieron más abajo en la cadena, en empresas de facturación, historiales, gestión de utilización, beneficios y laboratorios. El sexto, NYC Health + Hospitals, afirma que su punto de entrada pudo ser una brecha en un proveedor. La seguridad de tu información depende de las defensas de empresas que no elegiste tú.
Para los pacientes esto significa dos cosas. Primero, suponer que una carta de una empresa desconocida es una estafa ya no funciona en 2026. Segundo, y a la inversa, los estafadores también pueden hacerse pasar por una empresa desconocida.
No juzgues una carta solo por su contenido: comprueba registros públicos que abras tú mismo o un contacto oficial de tu proveedor sanitario que localices por tu cuenta. El portal del HHS y las cartas modelo de los sitios de los fiscales generales estatales son de las pocas formas en que los pacientes pueden comprobar una carta por sí mismos.
Artículos de este sitio sobre otros casos del mismo año
Los casos con la misma forma de "carta de una empresa desconocida" tienen artículos propios:
- DentaQuest (beneficios dentales y de visión): la empresa afirma que un empleado fue engañado para proporcionar credenciales y un código MFA. Aquí también está la lista de una página para EE. UU. (congelamientos, IP PIN, menores) → La filtración de DentaQuest y qué deben hacer los afiliados
- Aesto Health (migración y archivo de historiales médicos): una filtración en una empresa que almacena historiales médicos antiguos → La filtración de Aesto Health
- Medtronic (fabricante de dispositivos médicos): seguridad de los dispositivos y qué deben hacer los pacientes → La filtración de Medtronic
Para proveedores y empresas que envían datos de pacientes a terceros
Reúne en una sola hoja a todas las personas a las que has entregado datos de pacientes
Historiales electrónicos, facturación y gestión de consultas, gestión de utilización, administración de beneficios, trabajos de laboratorio, archivo de historiales. Enumera todas las empresas que guardan datos de pacientes o afiliados, sin importar qué departamento firmó el contrato, con los campos que les entregas (incluidos números de Seguro Social, escaneos de identificación o datos biométricos), el número de registros y cuántos años.
La mayoría de estos avisos viajan del proveedor externo al proveedor sanitario y de ahí al paciente. Sin esa hoja, cuando un proveedor externo llama no puedes decir con rapidez cuántos pacientes están afectados ni qué campos. El enfoque es el mismo que un inventario de seguridad.
Revisa tres cláusulas de tus acuerdos de asociado comercial
Las normas federales exigen que los contratos con asociados comerciales establezcan que el asociado comercial:
- (1) informe a la entidad cubierta de cualquier uso o divulgación no previsto en el contrato, incluidas las filtraciones (45 CFR 164.504(e)(2)(ii)(C));
- (2) asegure que sus subcontratistas acepten las mismas restricciones (párrafo D); y
- (3) al terminar, si es factible, devuelva o destruya toda la información de salud protegida y no conserve copias; si no es factible, amplíe las protecciones contractuales y limite cualquier uso y divulgación posteriores a los fines que hacen imposible la devolución o destrucción (párrafo J).
La cláusula (3) necesita un paso que compruebe la devolución o destrucción completada, o la protección continua y los límites de finalidad cuando no es factible. Usa la columna de "contratos terminados" para comprobar qué datos de pacientes permanecen y las condiciones que los protegen y limitan su uso.
Exige MFA resistente al phishing, para ti y para tus proveedores
Xsolis indica que su incidente fue consecuencia de un ataque de phishing dirigido. La Agencia de Seguridad de Infraestructuras y Ciberseguridad de EE. UU. (CISA) señala FIDO/WebAuthn (passkeys y llaves de seguridad FIDO2) como la opción resistente al phishing de amplia disponibilidad.
Empieza por las cuentas de administrador que tocan datos de pacientes, y por el acceso remoto. Añade una línea a tu cuestionario de proveedores en la selección y en la renovación: "¿Usan MFA resistente al phishing para las cuentas de administrador y el acceso remoto?" Cómo se entrega el MFA basado en códigos se explica en el artículo sobre DentaQuest.
Entrega menos campos
El aviso de Unlimited Technology Systems indica que pudieron estar implicados escaneos de documentos de identidad oficiales y de tarjetas de seguro, según la persona. NYC Health + Hospitals también enumera las huellas dactilares y palmares como posiblemente implicadas en algunas personas.
Los números de Seguro Social y los datos biométricos no se pueden cambiar. Revisar campo por campo lo que envías a cada proveedor externo y preguntarte si esa tarea realmente lo necesita es la forma más fiable de reducir el daño cuando se produce una filtración.
Sé capaz de identificar rápidamente a quién hay que notificar tras una filtración
Como muestran las cartas, cada incidente va seguido de una revisión de a quién pertenecen los registros afectados y qué campos lo están. En general, si en tiempo normal sabes qué archivos contienen los registros de quién y qué campos, identificar a las personas afectadas tras un incidente será más rápido.
Para la base de seguridad general, consulta el mínimo de seguridad básica para organizaciones.
Para pacientes y familias: el riesgo más inmediato es el mensaje convincente que sigue a la carta
Estos avisos dicen que pueden estar implicados nombres, direcciones, números de teléfono, fechas de nacimiento y datos del seguro. Eso basta para preparar una llamada, un correo o una carta convincentes.
Si alguien te pide tu número de Seguro Social o de cuenta para "tramitar tu compensación por la filtración" o "volver a registrar tu seguro", cuelga y vuelve a llamar a un número que hayas verificado en el portal del HHS y en la carta modelo del fiscal general estatal.
Fuentes (registros públicos)
Los hechos de este artículo proceden de los avisos oficiales y de los registros públicos que se indican a continuación. Las cifras son solo las declaradas por las organizaciones, el HHS o las autoridades estatales; no se usan estimaciones de prensa ni especulaciones sobre causas no reveladas. Los proveedores clientes y los proveedores externos e investigadores de las organizaciones se describen solo por su función.
- NYC Health + Hospitals, "Notice of Data Breach" (24 de marzo de 2026) — nychealthandhospitals.org
- Xsolis, Inc., "Xsolis, Inc. Provides Notice of Data Security Incident" (PR Newswire, 5 de junio de 2026) — prnewswire.com
- CareCloud, Inc., Formulario 8-K (presentado el 27 de marzo de 2026; fecha del informe 24 de marzo) — sec.gov
- Fiscal General de California, listado "Data Security Breach" y cartas modelo (CareCloud, Unlimited Technology Systems, Xsolis, Baylor Genetics, Navia) — oag.ca.gov / CareCloud / Unlimited Technology Systems / Xsolis / Baylor Genetics (PDF) / Navia (PDF)
- Baylor Genetics, "Security Update" — baylorgenetics.com
- Comunicación de Navia ante el Fiscal General de Nebraska (fechas del aviso y datos implicados) — nebraska.gov (PDF)
- HHS, Oficina de Derechos Civiles, "Breach Portal" (cifras, tipos de entidad y fechas de presentación de los seis; consultado el 30 de septiembre de 2026) — ocrportal.hhs.gov
- Código de Regulaciones Federales, 45 CFR 164.504(e) (contratos con asociados comerciales) — ecfr.gov
- CISA, "Implementing Phishing-Resistant MFA" (hoja informativa) — cisa.gov (PDF)
- Informes de prensa (cifra de la comunicación de Navia ante Maine; elementos de datos en las comunicaciones estatales de CareCloud): SecurityWeek — Navia / CareCloud
Historial de actualizaciones
2026-10-19: Se aclaró la implicación de información posible y específica por persona en Xsolis, Unlimited Technology Systems y NYC Health + Hospitals; se corrigieron las condiciones para la devolución o destrucción al terminar el contrato y las formas de comprobar un aviso. Las cifras y fechas de presentación del HHS no pudieron volver a verificarse en esta revisión; las cifras del 30 de septiembre que figuran a continuación no cambian.
2026-09-30: Primera versión, basada en los avisos y cartas de las organizaciones, el Formulario 8-K de CareCloud, las publicaciones de los fiscales generales de California y Nebraska, el portal de filtraciones de la Oficina de Derechos Civiles del HHS (a 30 de septiembre de 2026), las normas federales y la guía de CISA. La actualizaremos si las organizaciones o los reguladores publican más información.
Lectura recomendada
- Un caso del mismo periodo en un fabricante de monitores de glucosa, en el que el punto de partida fue la ingeniería social por teléfono a empleados: La filtración de datos de Dexcom (noviembre de 2026)
- Una filtración en un proveedor de atención auditiva (unos 1,33 millones según informes): La filtración de Amplifon Americas
- Un contratista de transcripción y codificación llega a un acuerdo con cuatro estados: El acuerdo por la filtración de Perry Johnson & Associates
- Un caso de un mercado de seguros de salud: Covered California (datos de agentes de inscripción, phishing)
- Un caso grande individual: iRhythm (8.179.772 personas registradas en el HHS)
- Un caso en detalle: Medicaid de DC (datos personales en informes publicados)
- Un caso en detalle: AdaptHealth (equipo médico a domicilio, 4,1 millones de personas)
- La lista de una página para EE. UU.: La filtración de DentaQuest y qué deben hacer los afiliados
- Una filtración en una empresa que almacena historiales médicos antiguos: La filtración de Aesto Health
- La filtración de un fabricante de dispositivos: La filtración de Medtronic
- Cuando los hospitales tuvieron que detener la atención: Cuatro hospitales cuya atención se vio interrumpida por ciberataques en 2026
- Términos: ¿Qué es el phishing? / ¿Qué es una passkey?
- Otros incidentes de 2026: Lista de filtraciones y ciberataques (Japón y mundo)