Filtración de datos de OpenLoop Health de 2026

El 7 de enero de 2026, la organización supo que un tercero no autorizado había accedido a determinados sistemas e inició la respuesta al incidente. Una investigación realizada con especialistas en ciberseguridad confirmó que el tercero estuvo presente los días 7 y 8 de enero y copió ciertos archivos durante ese periodo. Este hallazgo confirma que hubo una obtención de datos verificada por la organización, y no una mera posibilidad de que se hubiera consultado información.

HHS OCR clasifica el suceso como un incidente de intrusión informática/tecnología de la información (IT), señala un servidor de red como ubicación de la información y clasifica a OpenLoop como socio comercial. HIPAA Journal comparó la notificación de California con el registro federal e informó sobre el periodo de acceso, los archivos copiados y el alcance de 716 000 personas. Las fuentes no confirman la técnica utilizada para el acceso inicial ni atribuyen el ataque a un grupo de ransomware identificado por su nombre.

La fecha del incidente se basa en la primera actividad técnica que puede verificarse a partir de fuentes públicas. La actividad no autorizada terminó el 8 de enero; tras conocer lo ocurrido, la organización protegió sus sistemas y revisó el contenido para identificar qué archivos se habían copiado. Las fechas de detección, finalización del acceso y notificación se distinguen de la fecha de inicio.

OpenLoop notificó posteriormente a las personas afectadas, y el incidente se comunicó a través del portal federal de HHS el 17 de marzo de 2026. La información periodística actualizada en mayo corroboró el total federal de 716 000 personas. Un periodo de acceso breve no elimina el riesgo: la confirmación de que se copiaron archivos significa que la información salió de los sistemas afectados.

Los datos personales cuya afectación se notificó fueron nombres, domicilios, direcciones de correo electrónico y fechas de nacimiento. Los archivos copiados también contenían información médica; la notificación de la organización no detalló campos más específicos, como diagnósticos, tratamientos o recetas.

El contenido no era idéntico para todas las personas, y la información divulgada no indicaba que todas las categorías estuvieran presentes en los datos de todas las víctimas. Las cifras de personas, los campos de datos y las afirmaciones de actores de amenazas que no se han verificado no se consideran parte del alcance público del incidente. Tampoco se notificó que las tarjetas de pago, las cuentas bancarias, las contraseñas o la información biométrica fueran elementos confirmados del incidente, por lo que no se incluyen.

La cifra de personas o registros afectados publicada por la fuente oficial representa el alcance comunicado del incidente. No significa que todas las categorías de datos divulgadas correspondieran a todas las personas. Este es el alcance que la organización comunicó a la autoridad federal en cumplimiento de sus obligaciones de notificación conforme a HIPAA. LeakData no redondea la cifra, no la recalcula a partir de un titular periodístico ni crea subtotales supuestos para distintos grupos de clientes.

Un actor de amenazas que utilizaba el nombre Stuckin2019 afirmó haber obtenido datos de 1,6 millones de pacientes y declaró que se habían publicado muestras. OpenLoop no confirmó esa cifra más elevada, mientras que el registro oficial fiable indica 716 000 personas. Por tanto, la afirmación del actor no se añade al total y las dos cifras no se combinan.

Una filtración en un socio comercial puede afectar a una red asistencial más amplia que un incidente en un único proveedor directo. Los datos de identidad, como domicilios y fechas de nacimiento, combinados con información médica pueden hacer más convincentes los intentos de phishing, facturación falsa o ingeniería social que suplantan a organizaciones sanitarias. Sin embargo, las fuentes no indican que se haya detectado un uso indebido.

Debido al papel de OpenLoop como plataforma, el registro figura a nombre de la empresa; no se crean entradas independientes sobre filtraciones no confirmadas para cada cliente. La clasificación como socio comercial en la entrada de HHS respalda esta relación como proveedor. Esta entrada representa únicamente a las 716 000 personas confirmadas para el mismo periodo de acceso de enero y el mismo informe federal.

OpenLoop ofreció a las personas afectadas servicios gratuitos de seguimiento crediticio y protección frente al robo de identidad. Si usted ha recibido una notificación, revise el alcance indicado en su carta, consulte sus informes crediticios y las explicaciones de prestaciones de su seguro médico, e informe a la organización correspondiente de cualquier servicio o reclamación que no reconozca. Aunque se informó de que los números de la Seguridad Social no se habían visto afectados, conviene mantener la cautela ante comunicaciones inesperadas relacionadas con la atención médica.

Los mensajes que utilizan el nombre, el domicilio, la dirección de correo electrónico y la fecha de nacimiento de una persona pueden parecer enviados por un proveedor de atención médica real. Utilice canales oficiales conocidos en lugar de los enlaces incluidos en los mensajes y verifique por su cuenta cualquier solicitud inesperada de pago o de contraseña.