Brecha en proveedor de facturación de salud expone datos de 3.8 millones de pacientes

Unlimited Technology Systems, un proveedor de facturación y gestión del ciclo de ingresos de atención médica con sede en Ohio, ha revelado una brecha de datos que expuso información personal y médica de 3,803,750 pacientes — una de las mayores brechas de datos de atención médica reportadas en 2026.

Qué pasó

La empresa, con sede en Montgomery, Ohio, brinda servicios financieros, de facturación y gestión del ciclo de ingresos a más de 4,500 consultorios de oncología y más de 6,500 proveedores de atención médica especializada en todo Estados Unidos. Unlimited Technology Systems descubrió actividad no autorizada dentro de uno de sus centros de datos comerciales el 19 de octubre de 2025. Una investigación posterior determinó que un actor no autorizado había accedido — y posiblemente copiado — datos de pacientes entre el 5 y el 10 de octubre de 2025, lo que significa que la brecha pasó desapercibida durante aproximadamente dos semanas antes de ser descubierta, y tardó casi un año en llegar a la divulgación pública y notificación formal a los reguladores.

Qué datos fueron expuestos

La información comprometida abarca tanto información de identificación personal como información de salud protegida. La PII expuesta incluye nombres de pacientes, números de Seguro Social, fechas de nacimiento, direcciones domiciliarias, direcciones de correo electrónico, números de teléfono y documentos de identidad escaneados como licencias de conducir y tarjetas de seguro. La PHI expuesta incluye números de póliza de seguro médico, números de historial médico, diagnósticos, fechas de servicio, e información de reclamos y beneficios. La empresa ha declarado que la brecha no expuso registros médicos completos, imágenes diagnósticas, o detalles de cuentas financieras como números de tarjetas de crédito o cuentas bancarias.

Según informó BleepingComputer, Unlimited Technology Systems notificó formalmente al Departamento de Salud y Servicios Humanos de EE.UU. que 3,803,750 personas fueron afectadas, colocando esta brecha entre las más grandes divulgadas bajo los requisitos de reporte de brechas del HHS este año. La empresa ofrece a los pacientes afectados dos años de monitoreo de crédito gratuito, consulta de fraude, y servicios de restauración de robo de identidad.

Por qué importa el alcance

Debido a que Unlimited Technology Systems opera como un procesador de facturación de back-end para miles de consultorios de oncología y especialidad en lugar de una marca de cara al paciente, la mayoría de las personas afectadas probablemente no tienen relación directa con la empresa y pueden no saber que sus datos pasaron por sus sistemas — un riesgo estructural común en el ecosistema de proveedores de facturación y ciclo de ingresos de atención médica, donde una sola brecha en un procesador puede propagarse en cascada a través de las poblaciones de pacientes de cientos de clínicas no relacionadas.

La combinación de números de Seguro Social, diagnósticos médicos, y detalles de seguro en una sola exposición es particularmente valiosa para los estafadores, ya que permite tanto el robo de identidad tradicional como el fraude específico de atención médica, incluyendo reclamos de seguro fraudulentos presentados usando la información de póliza robada de una víctima.

Qué sigue

Al menos un bufete de abogados, Edelson Lechtzin LLP, ya ha anunciado que está investigando posibles demandas colectivas en nombre de los pacientes afectados, un resultado casi seguro para una brecha de esta escala bajo los patrones de litigio de privacidad de atención médica de EE.UU. Las personas afectadas deben estar atentas a las cartas de notificación oficial de Unlimited Technology Systems, inscribirse en el monitoreo de crédito ofrecido, y permanecer alertas ante intentos de phishing o reclamos de seguro fraudulentos que referencien sus detalles médicos expuestos.