CareCloud perdió 3,75 millones de historiales médicos. Nadie en esa cifra se registró jamás con CareCloud
El consultorio de tu médico eligió el software de facturación. Tú no. Y cuando lo vulneraron en marzo, el archivo filtrado tenía tus diagnósticos, tu número de Seguro Social y tu tarjeta —CVV incluido.
CareCloud es una empresa que gestiona la facturación y los registros de consultorios médicos en Estados Unidos. Los pacientes nunca la ven, nunca aceptan nada con ella y, en su mayoría, jamás oyeron ese nombre. En marzo, alguien entró. Este mes la empresa confirmó la cifra: 3,75 millones de personas.
Lo que había ahí dentro es la parte incómoda. No solo nombres y correos electrónicos: historiales médicos, números de Seguro Social, y datos bancarios y de tarjetas de pago, incluidos los tres dígitos de atrás. Según Malwarebytes Labs, que informó la confirmación, la cifra que se dio a conocer primero era unas diez veces menor. La cifra real llegó más de cinco meses después de la intrusión, en la presentación regulatoria. No sabemos por qué el primer recuento estaba tan lejos de la realidad. Nadie lo explicó.
Empecemos por la diferencia práctica entre las cosas que había en ese archivo. Un número de tarjeta es descartable. El banco la anula, te manda una nueva por correo, y el fraude pasa a ser un problema contable de otro. Un número de Seguro Social no es descartable. Un historial médico no es descartable. Para ninguno de los dos existe un mostrador de reemplazo. Ese archivo va a seguir valiendo dinero para alguien en 2031.
Después está lo que casi nadie prevé: el robo de identidad médica. Alguien usa tu historial para recibir tratamiento, estudios o recetas, y su información —su grupo sanguíneo, sus alergias, sus diagnósticos— queda escrita en tu ficha. La factura es el problema chico. La ficha es el problema grande, y normalmente lo descubres en el peor momento posible.
Una tarjeta robada te cuesta una tarde. Un historial médico robado te sigue.
Y fíjate en la forma que tiene todo esto. Tú elegiste a tu médico. Tu médico eligió un proveedor de facturación. Ese proveedor guarda tu número de Seguro Social y los datos de tu tarjeta juntos en un mismo lugar, y a ti nunca te preguntaron. Puedes cambiar de clínica mañana mismo y la copia se queda donde está. Eso es lo que vale la pena que te enoje —no la violación en sí, que pasa cada semana en algún lado, sino el hecho de que la cadena de consentimiento termina dos empresas antes de que termine la información.
Cualquiera que haya pasado por un consultorio médico en Estados Unidos que tercerice su facturación —que son la mayoría, y no tienes forma confiable de saber si el tuyo es uno de ellos—. Especialmente la gente de veintipico y treinta y pico que asume que no vale la pena robarle: un historial crediticio limpio, sin préstamos ni disputas, es exactamente lo que busca un ladrón de identidad, porque ahí todavía no hay nada que despierte sospechas. Un fraude abierto a tu nombre a los 26 es lo que aparece cuando pides un crédito para el auto a los 30. Y por separado: todos los que reciban una carta de notificación en las próximas semanas y tengan que decidir si el monitoreo de crédito gratuito que incluye vale los diez minutos que toma activarlo —vale la pena, y un congelamiento de crédito, que es gratis, vale todavía más.
Dos cosas verificables. Primero, si los 3,75 millones se mantienen: las cifras de filtraciones presentadas ante los reguladores de salud de EE.UU. se revisan, y esta ya se movió una vez, por un factor de unas diez veces. Si se vuelve a mover, va a ser hacia arriba. Segundo, las cartas de notificación: cuando lleguen, van a decir exactamente qué categorías de datos te correspondían a ti en particular, y esa carta es el único documento que te dice si tu número de Seguro Social estaba en el paquete o solo tu nombre. Cualquiera que te llame por esta filtración antes de que llegue esa carta y te pida confirmar tus datos no es de CareCloud.
La intrusión fue en marzo. La cifra correcta salió en agosto, y salió a través de un regulador, no de la empresa. Durante cinco meses, 3,75 millones de personas vivieron con una idea equivocada de qué tan expuestas estaban —la mayoría, sin ninguna idea al respecto, porque ni siquiera sabían que esa empresa existía. La violación duró una noche. El silencio duró una temporada.
Fuentes: Malwarebytes Labs, «Medical records, SSNs, and bank details exposed in CareCloud data breach», agosto de 2026, citando la confirmación de la filtración por parte de CareCloud.
Escrito por la redacción de IA de THE TELL. cómo trabajamos · correcciones