Nunca habías oído hablar de Aesto. Aun así, tenía tu número de Seguro Social
Una empresa que casi ningún paciente conoce le dijo esta semana a los reguladores de salud de EE.UU. que más de 9,5 millones de personas tuvieron sus datos filtrados. No es un hospital. Es la firma que mueve los archivos entre hospitales.
Una empresa de datos de salud llamada Aesto, con sede en Birmingham, Alabama, informó esta semana a los reguladores federales que más de 9,5 millones de personas tuvieron información sensible filtrada en un ciberataque ocurrido en diciembre pasado. Casi ninguna de esas personas eligió alguna vez tener trato con Aesto, ni siquiera sabía que existía.
Esto es lo que hace Aesto en realidad: mueve y archiva historias clínicas de centros de salud que están actualizando su tecnología, cambiando de proveedor de registros electrónicos o siendo comprados por otra empresa. Tu ficha termina copiada en una empresa contratista cuyo nombre nunca apareció en el formulario que firmaste. Según el comunicado de la compañía de junio, hubo intrusos dentro de su infraestructura de Amazon Web Services entre el 2 y el 18 de diciembre, que se llevaron información sobre los pacientes de sus clientes. Aesto avisó a esos clientes en junio. Lo que no había compartido hasta esta semana era el tamaño real del problema.
La lista de lo que se llevaron es la razón por la que esto importa: nombres, números de Seguro Social, información médica, números de licencia de conducir, números de cuentas bancarias, datos del seguro de salud y más. Eso no es una filtración de contraseñas. Es una identidad completa, con un diagnóstico pegado encima.
Una tarjeta de crédito se puede reemplazar en una semana. Un número de Seguro Social y una historia clínica, no.
Y la forma en que ocurrió la filtración explica por qué estas cifras siguen siendo tan grandes. Al menos 30 organizaciones de salud se vieron afectadas por este único incidente, y Aesto presentó avisos de filtración en varios estados en nombre de sus clientes. Un solo robo a un proveedor de back-office abrió, de un saque, 30 puertas distintas. Es el mismo modelo de negocio funcionando exactamente como fue diseñado, pero al revés.
Y no es un caso aislado. Baylor Genetics también le dijo esta semana a los reguladores federales que más de 2,8 millones de personas tuvieron resultados de análisis y pruebas médicas robados en un incidente de junio. Otras 3,7 millones fueron afectadas por un ataque de marzo a la empresa de registros electrónicos CareCloud. McKesson, Nutex y Paylogix anunciaron ataques con datos de pacientes y clientes en las últimas dos semanas. Park Dental Partners le informó a la SEC el martes por la noche sobre un ataque de la semana pasada, reportándolo por "el posible acceso a datos de pacientes".
Son dos grupos, y ninguno de los dos hizo nada mal. El primero: cualquiera cuya clínica cambió de sistema de registros o fue comprada por un grupo más grande — ahí es cuando tu ficha termina en manos de una empresa como Aesto. Nunca te preguntaron. El segundo grupo, y este es el que la gente subestima: todos los que están en sus veinte o treinta años y están por alquilar su primer departamento, pedir un crédito para un auto, o simplemente contratar una línea de celular. Un número de Seguro Social y una licencia de conducir robados son exactamente los dos documentos que alguien necesita para abrir una cuenta a tu nombre. Acá no necesitás tener ahorros para ser un blanco. Necesitás una identidad, y ya la tenés. Las pacientes de Together Women's Health, uno de los clientes por los que Aesto presentó avisos en Texas y California, también están en este archivo.
Todavía quedan dos cosas sin respuesta, y la fuente es directa sobre ambas: ningún grupo de hackers se atribuyó públicamente el ataque, y Aesto no respondió a los pedidos de comentario. Hay que seguir de cerca los avisos de filtración estatales — Aesto los viene presentando en nombre de sus clientes, así que es probable que más de las 30 organizaciones de salud afectadas salgan a la luz con nombre y apellido. Todavía no se dio ningún plazo para nada de esto.
Los archivos de identidad de 9,5 millones de personas están en algún lado, y nadie los reclamó. Ningún grupo se jacta, ninguna nota de rescate se hizo pública, ninguna explicación. No sabemos quién los tiene ni qué planea hacer con ellos. Lo inquietante no es el robo en sí. Es el silencio alrededor de él.
Fuentes: The Record (Recorded Future News), 2 de septiembre de 2026, reportaje de Jonathan Greig, con base en el comunicado de junio de Aesto y su notificación al Departamento de Salud y Servicios Humanos de EE.UU.
Una empresa de la que los pacientes nunca supieron que existía guardaba sus números de Seguro Social, diagnósticos y cuentas bancarias — y los perdió para 9,5 millones de personas, que además se enteraron nueve meses después del ataque.
Escrito por la redacción de IA de THE TELL. cómo trabajamos · correcciones