TriZetto: 3,4M de datos de salud robados en ciberataque

TriZetto y el ciberataque que pasó desapercibido casi un año

TriZetto Provider Solutions, empresa subsidiaria de Cognizant especializada en gestión de ingresos para el sector salud, confirmó que un actor no autorizado accedió a sus sistemas durante casi un año completo sin ser detectado. El resultado: 3,4 millones de personas vieron comprometida su información personal y de salud en uno de los incidentes de ciberseguridad más significativos del sector sanitario en los últimos años.

Para cualquier founder que opere en salud digital, insurtech o healthtech, este caso es mucho más que una noticia: es un manual de lo que no debe pasar y una señal de alerta sobre las vulnerabilidades sistémicas que aún persisten en la infraestructura tecnológica del sector.

¿Qué ocurrió exactamente? La cronología del incidente

La brecha comenzó en noviembre de 2024, cuando un tercero no autorizado obtuvo acceso al portal web de TriZetto utilizado para la verificación en tiempo real de elegibilidad de seguros médicos. Lo más alarmante no es el ataque en sí, sino cuánto tiempo pasó hasta que alguien lo detectó.

Noviembre 2024: inicio del acceso no autorizado a informes históricos de elegibilidad de seguros.
2 de octubre de 2025: TriZetto identifica, contiene y asegura el incidente con ayuda de expertos en ciberseguridad, casi un año después.
9 de diciembre de 2025: OCHIN, un socio comercial afectado, toma conocimiento del incidente.
Diciembre de 2025: comienza la notificación a proveedores de salud y, progresivamente, a los individuos afectados.
26 de enero de 2026: se confirma públicamente que 3,4 millones de personas tuvieron su información personal de salud (PHI) expuesta.
18 de febrero de 2026: firmas legales anuncian investigaciones formales por el incidente.

¿Qué datos fueron comprometidos?

La información robada proviene directamente de los registros de transacciones de elegibilidad de seguros médicos. Según la investigación forense, los datos expuestos incluyen:

Nombres completos y direcciones.
Fechas de nacimiento.
Números de Seguro Social.
Números de membresía de seguro médico y números de beneficiarios de Medicare.
Nombres de aseguradoras.
Información demográfica, clínica y de seguros adicional.

La combinación de información de identificación personal (PII) con datos de salud protegidos (PHI) eleva exponencialmente el riesgo de robo de identidad y fraude médico para las personas afectadas.

¿A quiénes afecta? Los proveedores de salud involucrados

Los pacientes afectados son, en su mayoría, usuarios de centros de salud comunitarios y clínicas que utilizaban los servicios de TriZetto para la gestión de elegibilidad de seguros. Entre las organizaciones proveedoras notificadas se encuentran:

San Francisco Community Health Center
Planned Parenthood Northern California
Open Door Community Health Centers
One Community Health
Native American Health Center
Mendocino Community Health Clinic
Petaluma Health Center
OLE Health (CommuniCare + OLE)

Esta lista revela que las poblaciones más vulnerables —aquellas que dependen de clínicas comunitarias y programas federales como Medicare— fueron las más expuestas.

La respuesta de TriZetto: ¿fue suficiente?

TriZetto contrató a Kroll Inc. para gestionar la divulgación de la brecha y ofrecer servicios de monitoreo a las víctimas. La empresa colaboró con sus socios comerciales afectados, como OCHIN, para realizar evaluaciones de impacto y coordinar las notificaciones.

Sin embargo, la respuesta ha sido objeto de cuestionamientos significativos. El brecho entre el inicio del ataque (noviembre 2024) y las primeras notificaciones a individuos (diciembre 2025) representa aproximadamente 13 meses, un período que puede contravenir tanto las regulaciones estatales como los requisitos federales de HIPAA, que exigen notificación oportuna ante brechas de datos de salud.

Implicaciones regulatorias y legales: la tormenta que viene

Desde el punto de vista legal, el panorama para TriZetto y su matriz Cognizant es complejo. Las firmas legales Schubert Jonckheer & Kolbe LLP y otras han abierto investigaciones formales que podrían derivar en demandas colectivas (class actions), buscando compensaciones para los afectados y mejoras obligatorias en los sistemas de ciberseguridad.

Desde la perspectiva regulatoria, la exposición de PHI a escala de 3,4 millones de personas activa obligaciones de reporte ante el Departamento de Salud y Servicios Humanos de EE.UU. (HHS) y sitúa al incidente como uno de los más grandes registrados en el sector salud en 2025.

Lo que este caso le dice a los founders de healthtech y salud digital

Si construyes o piensas construir una startup en el ecosistema de salud digital, este incidente ofrece lecciones concretas que no puedes ignorar:

1. La detección tardía es tan grave como el ataque mismo

Que un actor malicioso permanezca en tus sistemas durante casi un año sin ser detectado revela una falla estructural en los mecanismos de monitoreo y detección de anomalías. Herramientas de SIEM (Security Information and Event Management) y auditorías de acceso periódicas son básicas, no opcionales.

2. Los terceros son tu mayor vector de riesgo

El acceso ocurrió a través de un portal web de verificación de elegibilidad, un servicio que suena operativo y rutinario. En la cadena de suministro digital del sector salud, cada integración con terceros es una potencial puerta de entrada. La gestión del riesgo de proveedores (vendor risk management) debe estar en el centro de tu estrategia de seguridad desde el día uno.

3. El cumplimiento regulatorio no es un costo, es protección

Los plazos de notificación de HIPAA no son burocracia: están diseñados para proteger a las personas en el menor tiempo posible. Una startup que tarda meses en detectar y notificar una brecha no solo enfrenta multas; destruye la confianza, que en salud digital es el activo más difícil de recuperar.

4. La ciberseguridad como ventaja competitiva

En un mercado donde los incumbentes como TriZetto fallan en lo básico, las startups que demuestren robustez en seguridad, transparencia y respuesta rápida ante incidentes tienen una ventaja diferencial real frente a sus clientes institucionales.

Conclusión

El caso TriZetto es un recordatorio brutal de que la infraestructura tecnológica del sector salud sigue siendo profundamente vulnerable. 3,4 millones de personas con datos de salud y personales expuestos durante más de un año es una cifra que trasciende lo técnico y toca lo ético y lo estratégico.

Para los founders del ecosistema healthtech, insurtech y salud digital, este incidente no es una noticia lejana: es una fotografía del mercado en el que operan. La ciberseguridad, la detección temprana y la cultura de cumplimiento regulatorio no son gastos operativos; son los cimientos sobre los que se construye confianza a largo plazo. Y en salud, sin confianza, no hay negocio.

Profundiza estos temas con nuestra comunidad de founders en salud digital y tecnología

Unirme a la comunidad