Filtración de datos de Outcomes One (257 481 personas afectadas)

El incidente se detectó el 1 de julio de 2025, cuando un empleado observó actividad sospechosa en una cuenta de correo electrónico. El equipo de seguridad de Outcomes protegió la cuenta e inició una investigación con especialistas externos en ciberseguridad.

El acceso no autorizado duró aproximadamente una hora y se limitó a una sola cuenta de correo electrónico. Durante ese periodo se accedió a determinados correos y archivos; no se detectó que ninguna otra cuenta de correo estuviera involucrada.

El 17 de julio de 2025, Outcomes determinó que un elemento al que se podría haber accedido contenía nombres y, según la persona, información demográfica, nombres de proveedores de atención médica, información sobre seguros de salud o información sobre medicamentos.

El aviso de Outcomes señala expresamente que los números de la Seguridad Social no se vieron afectados. Esto no significa que todas las categorías de datos enumeradas estuvieran presentes en el caso de cada persona afectada.

El registro de filtraciones de datos del sector sanitario del HHS y un resumen independiente de la filtración indican que hubo 257 481 personas afectadas. La cifra de 256 031 del fiscal general de Texas refleja un alcance más limitado de la notificación a las autoridades reguladoras; se utiliza la cifra del HHS como total nacional.

Los datos sobre seguros de salud, medicamentos y proveedores de atención médica pueden ayudar a un atacante a elaborar mensajes personalizados que parezcan referirse a un plan de salud real o a una relación auténtica de atención médica.

Un atacante podría utilizar la renovación de una receta, la cobertura de un seguro o el pago de servicios médicos como pretexto para solicitar información personal o datos de pago. La presencia de datos médicos correctos en un mensaje no demuestra que el remitente esté autorizado.

Outcomes protegió la cuenta afectada, investigó con especialistas externos y afirmó haber implantado medidas de protección adicionales para el correo electrónico y formación para los empleados sobre phishing.

La empresa comenzó a notificar a los titulares de los datos el 25 de julio y a enviar avisos individuales por correo postal el 23 de septiembre de 2025. Se habilitó una línea de atención específica para consultas sobre el incidente.

Los destinatarios de los avisos pueden revisar los resúmenes de sus planes de salud, los historiales de recetas y las facturas médicas para detectar actividad que no reconozcan. Si encuentran algún servicio o medicamento que no hayan recibido, pueden ponerse en contacto directamente con su plan de salud.

Ante un mensaje inesperado que afirme proceder de Outcomes, Aetna, una farmacia o un profesional sanitario, utilice el canal de contacto oficial de la organización antes de abrir un enlace. No comparta ninguna contraseña, dato de pago ni código de verificación.