Filtración de datos de FYZICAL de 2024

El aviso oficial de Fyzical Acquisition Holdings vincula en un mismo incidente la fecha de detección del 9 de diciembre de 2024, el posible acceso no autorizado a datos del correo electrónico, la finalización de la revisión de los datos el 25 de noviembre de 2025 y los tipos de información indicados. El registro de HHS OCR confirma la organización, el entorno de correo electrónico y el total actual de 43 045 personas.

Un resumen independiente del incidente también describe los documentos presentados ante las autoridades estatales, la cronología del incidente y los campos de datos indicados. La cifra de 1 801 personas comunicada para Texas corresponde a un subconjunto estatal del mismo incidente, no a un suceso distinto ni a una cifra adicional que deba sumarse al total nacional de 43 045 registrado por HHS.

La organización identificó actividad inusual en su entorno de correo electrónico el 9 de diciembre e inició una investigación para determinar la naturaleza y el alcance del incidente. La investigación concluyó que, durante el incidente, algunos datos del correo electrónico podrían haber sido consultados o copiados sin autorización.

El aviso público no revela cuándo comenzó el acceso, qué cuentas o vulnerabilidad técnica se utilizaron ni la identidad del responsable. Por ello, el 9 de diciembre se registra como la fecha de detección, no como una fecha confirmada del primer acceso ni como un límite del período de acceso.

Según la persona, la información potencialmente afectada incluía nombres, fechas de nacimiento, números del Seguro Social y números de licencia de conducir o de identificación estatal. La información de cuentas financieras y tarjetas de pago también figura entre los campos indicados en el aviso oficial.

También podrían haberse visto afectadas la información del seguro de salud y la información médica. La organización señala expresamente que no todos los campos correspondían a todas las personas; no se incluyen direcciones de correo electrónico ni contraseñas porque no figuran entre los tipos de información divulgados públicamente.

Los números de identificación, combinados con información financiera y de salud, pueden facilitar el robo de identidad, la apertura fraudulenta de cuentas, el fraude en pagos o el envío de mensajes dirigidos y convincentes. Dado que los números del Seguro Social y de identificación oficial no pueden cambiarse fácilmente, puede ser aconsejable mantener la vigilancia durante un período prolongado.

Alguien que conozca un dato real sobre un tratamiento, un seguro o las finanzas de una persona podría elaborar una solicitud más convincente haciéndose pasar por un representante de FYZICAL, un proveedor de atención médica, un banco o un organismo público. Conocer esos datos no demuestra que tenga autorización, y las solicitudes inesperadas deben verificarse por un canal independiente.

Fyzical Acquisition Holdings revisó los datos del correo electrónico para identificar la información y las personas afectadas, y completó esa revisión exhaustiva el 25 de noviembre de 2025. Se enviaron avisos por correo postal a las personas cuyas direcciones estaban disponibles, y se ofrecieron servicios de seguimiento del historial crediticio y de protección de la identidad a quienes cumplían los requisitos.

La organización también afirma que revisó y reforzó sus políticas y procedimientos existentes. Las fuentes públicas no describen el incidente como un ataque de ransomware, no identifican a ningún grupo responsable ni confirman que se hayan copiado todos los campos potencialmente afectados.

Quienes reciban un aviso deben revisar periódicamente sus informes crediticios, cuentas financieras e informes explicativos del seguro de salud para detectar cuentas, transacciones, servicios o reclamaciones que no reconozcan. La actividad sospechosa debe notificarse a la entidad financiera correspondiente, a la aseguradora y, cuando proceda, a las autoridades.

No facilite un número del Seguro Social, datos de una tarjeta, una contraseña ni un código de verificación de un solo uso en respuesta a un correo electrónico, mensaje o llamada inesperados. Si recibe una solicitud que afirma proceder de FYZICAL o de otra organización, verifíquela utilizando los datos de contacto del sitio web oficial, no los enlaces ni los números que figuren en el mensaje.