Filtración de Marathon Health afecta a 5,7 millones: datos médicos y de Seguro Social expuestos

INDIANÁPOLIS — Una filtración de datos en Marathon Health, un proveedor de salud patrocinado por empleadores con sede en Indianápolis, Indiana, habría expuesto la información personal y de salud protegida de casi 5,7 millones de personas, incluidos números de Seguro Social e historiales médicos. Varios fiscales generales han sido informados y las cartas comenzaron a llegar el 20 de octubre de 2026, según un informe del 3 de noviembre de 2026. Si se confirma, sería la cuarta mayor filtración de salud reportada por una entidad regulada por la HIPAA este año.

No hubo ninguna falla en un programa. El 24 de agosto de 2026, una persona no autorizada se hizo pasar por un informático de Marathon Health, engañó a un empleado y exportó datos desde una aplicación en la nube en pocas horas. La cuenta se desactivó el mismo día; la revisión de datos terminó el 9 de septiembre de 2026.

Puntos Clave

• Marathon Health, proveedor de salud patrocinado por empleadores con sede en Indianápolis, habría sufrido una filtración que afecta a casi 5,7 millones de personas.
• La filtración comenzó el 24 de agosto de 2026, cuando un impostor que se hizo pasar por un informático engañó a un empleado y exportó datos desde una aplicación en la nube en pocas horas.
• Los datos expuestos incluyen nombres, información de contacto, fechas de nacimiento, números de Seguro Social, información médica e información del seguro de salud.
• Cifras estatales: 234.534 residentes de Texas, 29.075 de Massachusetts y 8.858 de Vermont; Emery Reddy informa que a Texas se le comunicó un total de 5.684.735 notificaciones.
• Las cartas se envían desde el 20 de octubre de 2026, con 12 o 24 meses de monitoreo de crédito gratuito; ningún grupo ha reivindicado el ataque.

Qué Pasó

Según la carta publicada en el sitio web del fiscal general de California, el 24 de agosto de 2026 se detectó actividad sospechosa en una cuenta de un empleado. La cuenta se desactivó de inmediato y una investigación descubrió que una persona no autorizada, haciéndose pasar por un trabajador de informática de Marathon, había convencido al empleado de revelar sus credenciales y luego exportó datos desde una aplicación en la nube en pocas horas.

La revisión de datos terminó el 9 de septiembre de 2026 y las cartas comenzaron a enviarse el 20 de octubre, casi dos meses después de la intrusión. Muchos afectados supieron así de la exposición semanas después de que sus datos salieran de los sistemas de la empresa. Como entidad cubierta por la HIPAA, debe reportarla a la Oficina de Derechos Civiles del HHS, pero aún no figuraba en su portal público el 3 de noviembre.

Antecedentes/Contexto

Marathon Health colabora con empleadores, sindicatos y organizaciones públicas para ofrecer atención primaria avanzada en centros dentro o cerca de los lugares de trabajo en Estados Unidos. Atiende a más de 600 organizaciones, opera más de 720 centros en 41 estados, emplea a unos 1.600 proveedores y ofrece atención virtual en los 50 estados. Su base de pacientes ronda los 3 millones de personas.

El total reportado de 5,7 millones supera esa base porque Marathon Health recibe datos de todos los miembros inscritos en los planes de sus organizaciones clientes, no solo de quienes visitaron sus centros, para verificar la cobertura, comunicar beneficios, facturar a las aseguradoras y programar citas. Por eso, algunos destinatarios nunca habrán usado un centro de Marathon. La Universidad de Indiana, cliente afectado, informó a empleados y familiares en sus planes Anthem PPO que podían usar los centros de Marathon.

Filtración de datos de Marathon Health: qué se expuso y a quién afecta

Los datos son especialmente sensibles porque combinan identidad y salud. Las cartas de California enumeran nombres, información de contacto, fechas de nacimiento y números de Seguro Social; Texas y Vermont también reportan información médica y del seguro de salud comprometidas. Esa combinación es más peligrosa que cada categoría por separado: un número de Seguro Social puede abrir cuentas ajenas, y los datos médicos permiten el fraude médico.

El panorama por estados aún está emergiendo, ya que solo unos pocos fiscales generales publican las cifras de sus propios residentes: Massachusetts, 29.075; Vermont, 8.858; Texas, 234.534. Por separado, Emery Reddy informa que a Texas se le comunicó que se está notificando a 5.684.735 personas en total. Esa cifra mayor es el total nacional reportado a Texas, no el número de texanos afectados, y origina el total de "casi 5,7 millones".

Reacciones/Declaraciones

Ningún grupo ha reivindicado el ataque y ningún grupo de ransomware está vinculado. El informe señala que esa suplantación es una táctica usada también por intermediarios y grupos cibercriminales, pero ninguno parece haber reivindicado este ataque y no hay atribución. Marathon Health afirma que ha tomado medidas para evitar incidentes similares y ofrece 12 o 24 meses de monitoreo de crédito gratuito. El material revisado no contiene citas de un portavoz identificado, por lo que no se atribuyen citas inventadas.

Por Qué Importa

La filtración importa por lo que se sustrajo y por cómo ocurrió. Una contraseña filtrada puede cambiarse; un número de Seguro Social, una fecha de nacimiento y un historial médico, no. Las víctimas enfrentan un riesgo duradero de robo de identidad y de reclamaciones médicas fraudulentas a su nombre. Y el atacante no necesitó ningún exploit técnico: una suplantación convincente y la confianza de un empleado abrieron una aplicación en la nube con millones de registros, una debilidad humana más difícil de corregir que cualquier error de programa.

Qué Sigue

Las cartas enviadas desde el 20 de octubre seguirán llegando a las personas afectadas, incluidas muchas que nunca visitaron un centro de Marathon. Quien reciba una debe leerla con atención, aceptar el monitoreo ofrecido y conservarla. También conviene vigilar los estados de cuenta por cargos médicos desconocidos y considerar una alerta de fraude o un bloqueo de crédito. Se espera que aparezca en el portal de la Oficina de Derechos Civiles del HHS una vez tramitado su informe.

Preguntas Frecuentes

¿Cuántas personas resultaron afectadas por la filtración de datos de Marathon Health?

Casi 5,7 millones: a Texas se le comunicó un total de 5.684.735 notificaciones.

¿Qué datos quedaron expuestos?

Nombres, información de contacto, fechas de nacimiento, números de Seguro Social, información médica e información del seguro de salud.

¿Cómo ocurrió la filtración?

El 24 de agosto de 2026, un impostor que se hizo pasar por un informático de Marathon engañó a un empleado y exportó datos desde una aplicación en la nube en pocas horas.

¿Podría estar afectado aunque nunca haya usado un centro de Marathon Health?

Sí: Marathon guarda datos de todos los miembros inscritos en los planes de sus clientes, no solo de quienes visitaron sus centros.

¿Alguien ha reivindicado la responsabilidad y figura la filtración en el portal federal?

Ningún grupo la ha reivindicado. Debe reportarse a la Oficina de Derechos Civiles del HHS, pero aún no figuraba en su portal el 3 de noviembre.

Lea más en US News Pulse: Retiro de atorvastatina: 13.296 frascos retirados en todo el país, Retiro de glucómetros StatStrip en hospitales, la advertencia más grave de la FDA y Binance registra salidas netas de 3.640 millones tras el hackeo récord.