Filtración de Xsolis afecta a 1,4 millones de pacientes en nueve sistemas de salud

Una filtración de datos en la empresa de inteligencia artificial sanitaria Xsolis ya se relaciona con al menos nueve sistemas de salud de Estados Unidos y 1,4 millones de pacientes, según informes publicados el 4 de noviembre de 2026. La filtración recuerda que un solo proveedor puede exponer historiales médicos de hospitales con los que el paciente nunca trató directamente.

Los archivos sustraídos no se limitaron a nombres y direcciones: fechas de nacimiento, números de Seguro Social, información sobre tratamientos médicos y datos del seguro de salud, una combinación usable para el robo de identidad y el fraude médico mucho después de anunciarse una filtración.

Puntos Clave

• Al menos nueve sistemas de salud de EE. UU. y 1.396.519 personas ya se relacionan con la filtración, según cifras comunicadas al Departamento de Salud y Servicios Humanos.
• Un ataque de phishing dirigido el 20 de enero de 2026 permitió a una persona no autorizada acceder a parte del entorno informático de Xsolis y a un "número limitado" de archivos, según comunicó la empresa a los reguladores.
• Entre los sistemas nombrados están Mayo Clinic, UW Medicine, Legacy Health, Carle Health, VHC Health, Rochester Regional Health y Erie County Medical Center.
• Los datos sustraídos incluyeron nombres, direcciones, fechas de nacimiento, números de Seguro Social, información sobre tratamientos médicos y datos del seguro de salud.
• Xsolis afirmó que no tiene constancia de ningún uso indebido; ningún grupo de ransomware se ha atribuido la intrusión.

Qué Pasó

Xsolis ofrece tecnología de gestión de utilización y coordinación de la atención que los hospitales usan para revisar si los tratamientos cumplen criterios de necesidad médica, lo que le da acceso a información de pacientes.

Según el relato resumido el 4 de noviembre por DataBreaches.net, Xsolis comunicó a los reguladores el 5 de junio de 2026 que un ataque de phishing dirigido el 20 de enero de 2026 permitió a una persona no autorizada entrar en parte de su entorno informático. La empresa describió los archivos como un "número limitado", en contraste con casi 1,4 millones de personas afectadas.

Salud y Servicios Humanos publicó la cifra de 1.396.519 personas afectadas el 22 de junio de 2026, ahora relacionada con los sistemas afectados: un incidente en la cadena de suministro, no el fallo de un solo hospital. Avisos individuales siguieron: UW Medicine, unos 23.600 pacientes; Rochester Regional Health, unos 18.600.

Antecedentes/Contexto

La salud es uno de los sectores más atacados por los ciberdelincuentes, porque los historiales médicos son sensibles y duraderos. Una tarjeta de crédito puede cancelarse en minutos; una fecha de nacimiento, un número de Seguro Social y un historial médico, no. Esa permanencia explica por qué las filtraciones de datos de salud tienen consecuencias más prolongadas, y por qué los incidentes graves deben comunicarse a Salud y Servicios Humanos.

El caso encaja en un patrón que preocupa a los reguladores: los hospitales dependen cada vez más de empresas externas para funciones esenciales, de modo que cada proveedor amplía el círculo que guarda datos de pacientes. Una debilidad en cualquiera de ellos puede exponer a pacientes que eligieron su hospital, no al proveedor.

El calendario ilustra esa demora: el ataque ocurrió en enero de 2026, el informe llegó en junio, y el panorama consolidado solo surgió en noviembre.

Filtración de Xsolis: Qué Datos Fueron Sustraídos y Quiénes Resultaron Afectados

Las categorías de datos afectadas son la parte más grave de esta historia. Los nombres y las direcciones por sí solos son una molestia; combinados con fechas de nacimiento y números de Seguro Social, pueden servir para abrir cuentas fraudulentas y cometer fraude fiscal. Si se añaden información sobre tratamientos médicos y datos del seguro de salud, el riesgo se extiende al robo de identidad médica, en el que el seguro de otra persona se usa para recibir atención, dejando historiales falsos y facturas inesperadas.

Los sistemas nombrados abarcan todo el país: Mayo Clinic en Rochester, Minnesota; UW Medicine en Seattle; Legacy Health en Portland, Oregón; Carle Health en Urbana, Illinois; VHC Health en la zona de Washington; Rochester Regional Health en el norte de Nueva York; y Erie County Medical Center en Buffalo. Junto con al menos otros dos sistemas, suman 1,4 millones. Los pacientes atendidos a través de Xsolis deben estar atentos a las cartas de notificación.

Reacciones/Declaraciones

Xsolis ha afirmado que no tiene constancia de ningún uso indebido de los datos y que está notificando a los pacientes afectados. Calificó los archivos a los que accedió el intruso como un "número limitado", sin detallar públicamente cómo se relaciona eso con los 1,4 millones de personas cuya información estaba en ellos.

Ningún grupo de ransomware se ha atribuido el ataque. Aquí el daño, si lo hay, es más silencioso: datos sustraídos, pacientes notificados y un largo periodo de vigilancia.

Por Qué Importa

En primer lugar, la filtración muestra lo concentrado que se ha vuelto el riesgo en la sanidad estadounidense: un paciente puede elegir un hospital con cuidado y aun así ver expuesta su información sensible a través de un proveedor desconocido.

En segundo lugar, la combinación de datos sustraídos es inusualmente peligrosa. Los números de Seguro Social y los historiales médicos no caducan, así que las víctimas pueden necesitar vigilar su crédito y sus historiales médicos durante años, con un coste en tiempo y atención por un incidente que no provocaron.

En tercer lugar, el incidente llega en un año ya marcado por filtraciones sanitarias muy grandes, incluida la de Marathon Health, que afecta a unos 5,7 millones de personas. En conjunto, refuerzan la necesidad de notificaciones más rápidas, una responsabilidad más clara de los proveedores y defensas más sólidas contra el phishing.

Qué Sigue

Los pacientes afectados deben leer con atención su carta de notificación. Quien crea estar afectado pero no haya recibido nada debe contactar con su sistema de salud y aprovechar cualquier supervisión de crédito ofrecida.

Los reguladores y los sistemas de salud enfrentarán preguntas sobre cómo un solo ataque de phishing en enero pudo exponer archivos que afectan a 1,4 millones de personas. Conviene estar atentos a nuevos avisos y a cualquier actualización de Xsolis sobre uso indebido.

Preguntas Frecuentes

¿Qué es Xsolis? Una empresa de tecnología sanitaria que ofrece herramientas de gestión de utilización y coordinación de la atención para revisar la necesidad médica.

¿A cuántas personas afectó la filtración? A 1.396.519 personas, según el informe de Xsolis al Departamento de Salud y Servicios Humanos, publicado el 22 de junio de 2026, ahora relacionado con al menos nueve sistemas de salud.

¿Qué sistemas de salud resultaron afectados? Mayo Clinic, UW Medicine, Legacy Health, Carle Health, VHC Health, Rochester Regional Health y Erie County Medical Center, entre al menos nueve.

¿Qué datos fueron sustraídos? Nombres, direcciones, fechas de nacimiento, números de Seguro Social, información sobre tratamientos médicos y datos del seguro de salud.

¿Se han usado indebidamente los datos robados? Xsolis afirmó que no tiene constancia de ningún uso indebido, y ningún grupo de ransomware se ha atribuido la responsabilidad. Los pacientes deben seguir vigilando su crédito y sus extractos médicos.

Cobertura relacionada: Filtración de Marathon Health afecta a 5,7 millones: datos médicos y de Seguro Social expuestos; Retiro de glucómetros StatStrip: la advertencia más grave de la FDA para hospitales.