Filtración de datos de Fieldtex Products de 2025

Fieldtex declaró que descubrió actividad no autorizada en sus sistemas informáticos, protegió la red e inició una investigación con especialistas externos en análisis forense digital. Su revisión concluyó que una cantidad limitada de información de salud protegida podría haberse visto afectada por el incidente. HIPAA Journal y SecurityWeek informaron sobre el comunicado de la organización y los informes presentados ante el HHS.

La lista del HHS identifica a Fieldtex como socio comercial, clasifica el suceso como un incidente de piratería informática/IT e indica que la información se encontraba en un servidor de red. Esa clasificación regulatoria y la conclusión de la empresa sobre un posible acceso u obtención de información respaldan que se trató de una filtración real de datos personales.

Fieldtex detectó la actividad no autorizada el 19 de agosto de 2025 o en torno a esa fecha y protegió sus sistemas para impedir nuevos accesos. La empresa afirmó que terminó de revisar los archivos expuestos el 30 de septiembre de 2025 y notificó a los planes de salud afectados. La fecha del incidente se basa en la actividad técnica más temprana que puede verificarse mediante fuentes públicas.

El primer informe de gran alcance se presentó ante el HHS el 20 de noviembre de 2025 y correspondía a 238 615 personas. Otras tres entradas del 3 de diciembre incluyen a 5 901, 9 206 y 20 641 personas, mientras que una entrada posterior, del 12 de diciembre, incluye a 104 071. Las distintas fechas de presentación no demuestran que hubiera ataques separados; reflejan la presentación escalonada de informes por parte de Fieldtex como socio comercial que actuaba en nombre de los planes de salud.

Los campos divulgados incluyen nombres, direcciones postales, fechas de nacimiento y género. La información de afiliación a los planes de salud también incluía números de identificación de los asegurados, nombres de los planes y fechas de inicio o periodos de cobertura. Estos campos estaban vinculados a la información de afiliados proporcionada por los planes de salud que utilizaban el programa de prestaciones de Fieldtex para productos de salud de venta libre.

Las fuentes no incluyen números de la Seguridad Social, tarjetas de pago, cuentas bancarias, contraseñas, diagnósticos clínicos, recetas ni historiales detallados de tratamiento en la lista de campos confirmados. Por ello, esas categorías quedan excluidas. La expresión «información de salud protegida» tampoco significa que todas las personas afectadas tuvieran todos los campos enumerados; el contenido de cada archivo podía variar.

La lista del HHS consultada el 27 de julio de 2026 contiene cinco filas de investigaciones abiertas correspondientes a Fieldtex Products. La suma de las cifras de personas afectadas que aparecen en esas filas da 378 434. En su actualización del 16 de diciembre de 2025, HIPAA Journal señaló que se habían presentado tres informes que sumaban 35 748 personas, además de las 238 615 iniciales; la lista del HHS también muestra actualmente el informe presentado el 12 de diciembre correspondiente a 104 071 personas.

La tabla pública del HHS no publica un método que permita establecer si se eliminaron las identidades duplicadas entre las cinco filas. Por tanto, la cifra debe interpretarse como la suma de las cantidades de personas comunicadas al organismo regulador, no como un conjunto de datos de personas únicas verificado de forma independiente.

El grupo de ransomware Akira incluyó a E-First Aid Supplies, una marca de Fieldtex, en su sitio de filtraciones en noviembre de 2025 y afirmó haber sustraído 14 GB de documentos corporativos. SecurityWeek informó sobre esa afirmación e indicó que los archivos no parecían haberse publicado en ese momento. Fieldtex no mencionó a Akira en su comunicado público, por lo que ni la atribución al grupo ni la cifra de 14 GB se consideran conclusiones confirmadas por la empresa.

No se concluye que el ransomware cifrara los sistemas, que se pagara un rescate ni que todas las afirmaciones del grupo fueran exactas. Lo esencial que se ha verificado es que la información de afiliados a planes de salud almacenada en un servidor de red estuvo expuesta a un acceso u obtención no autorizados.

Si recibió una notificación, compare los nombres de Fieldtex y de los planes de salud que aparecen en la carta con los registros de su propio plan, revise los resúmenes de prestaciones para detectar cambios que no reconozca e informe de pedidos inesperados de productos de venta libre. Antes de utilizar cualquier enlace, verifique las llamadas o los mensajes que soliciten su dirección, fecha de nacimiento o identificador de afiliado mediante un canal de contacto oficial del plan de salud obtenido de forma independiente.

Fieldtex afirmó que ofreció un servicio gratuito de seguimiento crediticio a las personas que cumplían los requisitos. Aunque el plazo de inscripción haya vencido, sigue siendo útil revisar los informes de crédito, informar de cuentas que no reconozca y comprobar las explicaciones de prestaciones del seguro de salud.