Phishing en empresa tecnológica de salud expuso datos de 1,4 millones de personas

La empresa estadounidense de tecnología para el sector salud Xsolis informó que un incidente de ciberseguridad comprometió información personal y médica de aproximadamente 1,4 millones de personas. Según la compañía, el acceso no autorizado fue consecuencia de un ataque de phishing dirigido que afectó una parte limitada de su entorno tecnológico y permitió a un actor externo obtener determinados archivos con información proporcionada por organizaciones clientes.

De acuerdo con el aviso publicado por la empresa, la actividad no autorizada fue detectada el 22 de enero de 2026, dos días después del ataque inicial. Xsolis indicó que contuvo el incidente de inmediato e inició una investigación con apoyo de especialistas externos en ciberseguridad. La compañía señaló que «el 22 de enero de 2026, Xsolis detectó actividad no autorizada que afectaba a una parte limitada de su entorno, como consecuencia de un ataque de phishing dirigido ocurrido el 20 de enero de 2026. Inmediatamente, contuvimos la actividad e iniciamos una investigación con la ayuda de expertos externos en ciberseguridad”.

La empresa agregó en el comunicado que “la investigación determinó que un atacante no autorizado obtuvo ciertos archivos que contenían información que, según la persona, podía incluir nombres, direcciones, fechas de nacimiento, información sobre seguros médicos, números de la Seguridad Social e información sobre tratamientos médicos”. Según los datos reportados al Departamento de Salud y Servicios Humanos de los Estados Unidos, el incidente afectó a 1.396.519 personas.

Xsolis afirmó que, hasta el momento, no tiene evidencia de que la información haya sido utilizada de forma fraudulenta. En su comunicado indicó que «no tenemos conocimiento de ningún uso real o intento de uso indebido de la información como consecuencia de este incidente».

Como parte de la respuesta al incidente, la empresa notificó el caso a las autoridades, incorporó controles de seguridad adicionales y comenzó a enviar cartas a las personas potencialmente afectadas. Las notificaciones incluyen información sobre el incidente, recomendaciones para monitorear posibles actividades sospechosas y acceso a servicios gratuitos de monitoreo de crédito y protección contra el robo de identidad para quienes sean elegibles.

La compañía también habilitó un centro de atención telefónica para responder consultas relacionadas con el incidente y asistir a los afectados en el acceso a los servicios de protección ofrecidos. En paralelo, recomendó revisar periódicamente los estados de cuenta, reportes de crédito y documentación relacionada con beneficios médicos para detectar movimientos inusuales, además de considerar herramientas como alertas de fraude o congelamiento del historial crediticio.

Respecto de las acciones implementadas tras el incidente, Xsolis señaló que «implementamos salvaguardas adicionales para reforzar aún más la seguridad de la información bajo nuestra custodia y ayudar a prevenir incidentes similares en el futuro».