Filtración de datos de 2025 en las cuentas de Medicare.gov de CMS

Las principales pruebas son el comunicado de prensa oficial de CMS del 30 de junio de 2025 y el modelo de carta de notificación. La agencia afirma que los actores utilizaron datos obtenidos de una fuente externa desconocida para crear cuentas fraudulentas en Medicare.gov y que, posteriormente, podrían haber accedido a información adicional de los beneficiarios. Se trata de un incidente de fraude mediante cuentas, distinto de la filtración de MOVEit de 2023 que afectó a un contratista de CMS.

La entrada de HHS OCR clasifica a la organización como un plan de salud, el suceso como un incidente de piratería informática/TI y la ubicación de la información como un servidor de red; indica 107 154 personas. Healthcare Finance News examinó de forma independiente el comunicado de CMS e informó sobre cómo funcionaban las cuentas fraudulentas, los campos de identificación utilizados y la respuesta de la agencia. Las fuentes coinciden en el método, la cronología y el alcance de los datos.

El 2 de mayo de 2025, el centro de atención telefónica 1-800-MEDICARE de CMS comenzó a recibir consultas de beneficiarios que habían recibido cartas de confirmación de cuentas de Medicare.gov que no habían creado. La agencia abrió de inmediato una investigación y descubrió que actores maliciosos habían utilizado información válida de los beneficiarios para crear nuevas cuentas entre 2023 y 2025.

El comunicado público no identifica un día concreto como inicio de los ataques e indica que las cuentas fraudulentas se crearon durante el periodo 2023-2025. La fecha del incidente se basa en la actividad técnica más antigua que puede verificarse mediante fuentes públicas. El 30 de junio que figura en la entrada de HHS es la fecha de comunicación pública y no se interpreta como el inicio del incidente.

Los campos utilizados para crear las cuentas fueron los identificadores de beneficiario de Medicare, las fechas de inicio de la cobertura de Medicare, los apellidos, las fechas de nacimiento y los códigos postales. Estos datos procedían de fuentes desconocidas ajenas a CMS, pero su combinación válida permitió a los actores establecer identidades no autorizadas dentro de Medicare.gov.

Tras crear las cuentas, los actores también podrían haber consultado información sobre proveedores de atención médica, direcciones postales, fechas de los servicios, códigos de diagnóstico, servicios recibidos y detalles de las primas del plan. Las cifras de personas, los campos de datos y las afirmaciones de los actores de amenazas que no se hayan verificado no se consideran parte del alcance público del incidente. Tampoco se da por hecho que todos los campos correspondieran a cada una de las 107 154 personas.

El anuncio inicial de CMS presentó una cifra redondeada de aproximadamente 103 000 beneficiarios afectados. El número de personas afectadas o de registros publicado por la fuente oficial representa el alcance comunicado del incidente. Esto no significa que todas las categorías de datos divulgadas correspondieran a todas las personas. La cifra aproximada anterior no se suma ni se trata como un suceso independiente.

Esta cifra no es un recuento de cuentas fraudulentas, páginas consultadas, solicitudes de pago ni campos de datos; representa a las personas incluidas en la población a la que se notificó la filtración. La cuenta de un solo beneficiario puede contener múltiples datos sobre salud, planes y servicios.

CMS desactivó todas las cuentas creadas de forma fraudulenta e impidió la creación de nuevas cuentas de Medicare.gov desde direcciones IP extranjeras. Continuó supervisando los datos de las solicitudes de pago para detectar actividad sospechosa, sustituyó los identificadores de beneficiario de Medicare de las personas afectadas y, cuando fue necesario, envió por correo nuevas tarjetas de Medicare con nuevos identificadores.

Cuando se emitió el comunicado oficial, CMS no tenía conocimiento de ningún informe de fraude de identidad ni de uso indebido directo derivado de la actividad. Aun así, la agencia aplicó los cambios como medida de precaución. Las personas que reciban tarjetas de reemplazo deben dejar de utilizar el número anterior de Medicare y asegurarse de que sus proveedores de atención médica registren el nuevo identificador.

Las personas que reciban la notificación deben revisar periódicamente los avisos de resumen de Medicare y las explicaciones de beneficios del seguro para detectar cargos, médicos, diagnósticos o servicios que no reconozcan. La actividad sospechosa puede notificarse al 1-800-MEDICARE o a la Oficina del Inspector General del HHS. Si ha recibido una tarjeta de reemplazo, preste especial atención a las solicitudes de pago que utilicen el número anterior de Medicare.

No abra directamente los enlaces de mensajes inesperados de verificación de cuentas, renovación de tarjetas o pagos que utilicen la imagen de CMS o Medicare; inicie el contacto desde Medicare.gov o mediante el número oficial impreso en la tarjeta. También puede revisar los informes de crédito gratuitos para detectar indicios de uso indebido de su identidad.