Nueva EPS: actor anónimo dice tener datos de 11 millones de afiliados
Un actor anónimo asegura tener los datos personales y de salud de más de 11 millones de afiliados de Nueva EPS, la aseguradora en salud más grande de Colombia.
MuchoHacker.lol revisó la muestra publicada: su estructura es consistente con una base interna de gestión del riesgo en salud.
El anuncio apareció la mañana del domingo 4 de octubre de 2026, hacia las 10:45 a. m. hora de Colombia, en un foro de compraventa de datos robados. Lo publicó una cuenta creada ese mismo mes, con un solo mensaje, que usa como alias el nombre de la EPS.
Según el actor, el material sumaría 11.239.741 registros repartidos en 34 archivos, uno por departamento o región. La cifra es cercana al número de afiliados que la propia entidad reporta: más de 11 millones.
El mensaje no es solo una oferta de venta. El actor afirma haber enviado correos a la entidad y amenaza con divulgar la información si Nueva EPS acude a las autoridades en lugar de “llegar a un acuerdo”. Es decir, se trataría de una extorsión. Ni la Nueva EPS ha confirmado, ni nosotros hemos encontrado evidencia de que se trate de una extorsión. Debe quedar claro que se trata de un mensaje, expuesto por un actor anónimo en un foro de comercialización de venta de datos en el mercado negro.
Qué información estaría expuesta
La publicación incluye la lista de columnas de la supuesta base: 122 campos por persona. Además de datos de identificación y contacto, aparecen variables de salud especialmente sensibles.
- Identificación y contacto: tipo y número de documento, nombres, fecha de nacimiento, sexo, dirección, barrio o vereda, teléfono y correo electrónico.
- Identidad étnica: pertenencia étnica, pueblo, resguardo y comunidad indígena, lengua nativa.
- Salud: gestación y fecha probable de parto, enfermedad crónica, discapacidad, salud mental, diagnósticos de hospitalización con código CIE-10 y grupo de riesgo.
- Exámenes y controles: citología, prueba de VPH, mamografía, antígeno de próstata, vacunas, peso, talla, presión arterial.
- Hábitos: consumo de alcohol y tabaco, sedentarismo y alimentación.
- Contacto con la EPS: número de llamadas y mensajes de texto recibidos, y si la persona pidió no recibir campañas.
Los datos de 30 personas ya fueron divulgados
Como prueba, el actor publicó 30 registros completos de afiliados atendidos en una misma institución de salud de Leticia, Amazonas. Esa divulgación ya ocurrió: sea cual sea el tamaño real de la base, los datos de esas 30 personas están hoy al alcance de cualquiera que visite el foro.
De las 30 personas se publicaron nombre completo, número de cédula, fecha de nacimiento, sexo, dirección y teléfono. En 18 casos aparece un correo electrónico; en 24, peso, talla e índice de masa corporal; y en 22, presión arterial. Nueve personas figuran como indígenas. Dos registros tienen marcas relacionadas con salud mental y uno, con una alteración visual o auditiva.
Otros campos, como embarazo, enfermedad crónica, discapacidad o diagnósticos de hospitalización, aparecen vacíos en estos 30 registros. Que la base completa los contenga es, por ahora, una afirmación del actor.
MuchoHacker.lol no reproduce ninguno de estos datos.
Lo que encontramos en la muestra
MuchoHacker.lol analizó los 30 registros de la muestra sin descargar ningún archivo adicional ni acceder a sistemas de la entidad. Encontramos varios elementos consistentes con una base real; ninguno, por sí solo, lo prueba:
1. Esquema coherente con la normativa de salud. Las columnas corresponden a intervenciones de la Ruta de Promoción y Mantenimiento de la Salud (Resolución 3280 de 2018): curso de vida, valoración integral, tamizajes de cáncer, salud oral, salud visual y planificación familiar. Esto muestra que el esquema es plausible, aunque esa norma es pública y no basta para probar autenticidad.
Junto con la muestra, el actor publicó la lista de encabezados: los nombres de las 122 columnas que tendría cada archivo. MuchoHacker.lol comparó esos encabezados con la información pública sobre la Resolución 3280. La tabla muestra algunos de ellos, tal como los escribió el actor, junto a la intervención de la norma a la que corresponderían.
| Columna publicada por el actor | Intervención en la Ruta (Res. 3280) |
|---|---|
| CURSO DE VIDA (valor en la muestra: ADULTEZ) | Curso de vida Adultez, de 29 a 59 años |
| VALORACION INTEGRAL | Valoración integral por medicina general o familiar |
| CITOLOGIA, PRUEBA ADN-VPH | Tamizaje de cáncer de cuello uterino |
| MAMOGRAFIA, FECHA EXAMEN CLÍNICO MAMA | Tamizaje para cáncer de mama y valoración clínica de la mama |
| PSA PROSTATA | Tamizaje para cáncer de próstata |
| SOMF (sangre oculta en materia fecal) | Tamizaje para cáncer de colon |
| FLUOR, SELLANTES, PLACA, DETARTRAJE | Aplicación de flúor, sellantes, remoción de placa bacteriana y detartraje |
| AGUDEZA_VISUAL | Valoración visual |
| PLANIFICACION | Asesoría en planificación familiar y anticoncepción |
2. Código de la EPS. Una parte de los registros lleva el código EPSS41, que corresponde al régimen subsidiado de Nueva EPS. Los 30 registros de la muestra figuran en el régimen subsidiado.
| Valor publicado en CODIGO EPS | Registros |
|---|---|
| EPSS41 | 11 |
| Vacío | 19 |
3. Una regla automática en los 30 registros. La “fecha de próxima consulta” cae siempre el mismo día y mes del nacimiento, a una edad múltiplo de cinco. Es el tipo de cálculo que hace un sistema, no alguien que inventa filas a mano.
| Edad del afiliado en la próxima consulta | Registros | Día y mes iguales al nacimiento |
|---|---|---|
| 35 años | 24 | 24 de 24 |
| 40 años | 5 | 5 de 5 |
| 45 años | 1 | 1 de 1 |
Ejemplo anonimizado: nacimiento ??/??/1994, próxima consulta 2029-??-??, con el mismo día y mes.
4. Datos recientes. La fecha más reciente de la muestra es el 10 de agosto de 2026. Las edades publicadas solo cuadran si se calcularon entre el 12 de agosto y el 5 de septiembre de 2026. Si la base es auténtica, no sería el reciclaje de una filtración antigua.
| Dato en la muestra | Qué indica |
|---|---|
| Fecha más reciente: 2026-08-10, en la columna VALORACION INTEGRAL | Registros actualizados al menos hasta agosto de 2026 |
| Un afiliado que cumple años el 12 de agosto ya aparece con la edad nueva | Edad calculada el 12 de agosto o después |
| Un afiliado que cumple años el 6 de septiembre aún aparece con la edad anterior | Edad calculada antes del 6 de septiembre |
| Las 30 edades coinciden con la fecha de nacimiento | Solo dentro de esa ventana de 25 días |
5. Nombres sin Ñ. Los apellidos con Ñ aparecen sin esa letra, mientras que las tildes de otros campos se conservan. Los nombres vendrían así desde el sistema de origen, un detalle poco probable en una base fabricada con nombres escritos a mano.
| Campo | Cómo aparece en la muestra |
|---|---|
| Apellidos (3 de 30 registros) | MUOZ (Muñoz), BOLAOS (Bolaños), LONDOO (Londoño) |
| Pertenencia étnica, nivel educativo | “1 – Indígena”, “3- Básica Secundaria”, con tilde |
6. Estructura organizacional interna. Los archivos y columnas siguen una división por regionales y territorios que no corresponde a la político-administrativa del país.
| Dato publicado | Qué muestra |
|---|---|
| Archivos NominalAfiliadosAntioquia.csv (754.943) y NominalAfiliadosUraba.csv (200.283) | Urabá se trata como unidad aparte de Antioquia |
| REGIONAL: CENTRO, en registros de Amazonas | Amazonas agrupado en una regional “Centro” |
| NOMBRE_TERRITORIO: AMAZONAS-T1 | Codificación interna de territorios |
Todos los valores de estas tablas provienen de lo que publicó el actor. MuchoHacker.lol omitió nombres completos, documentos, direcciones, teléfonos, correos, fechas completas de nacimiento y todos los campos de salud.
Estos indicios no prueban que existan los 11 millones de registros. La muestra corresponde a un solo municipio y a una sola institución de salud. Tampoco establecen cómo se obtuvo la información ni si salió de los sistemas de Nueva EPS o de un tercero que trabaja con ella.
Varias columnas registran llamadas, mensajes de texto y campañas. Ese tipo de datos suele manejarse en operaciones de contacto con usuarios, que muchas veces están a cargo de contratistas. Es una línea que MuchoHacker.lol sigue investigando.
Por qué es grave
La Ley 1581 de 2012 clasifica los datos de salud y de origen étnico como sensibles. Su exposición puede dar lugar a discriminación, a estafas muy creíbles y a presiones sobre personas en condiciones vulnerables.
La mayoría de los registros de la muestra corresponden al régimen subsidiado. Con información sobre embarazos, citas o diagnósticos, un estafador puede hacerse pasar por la EPS con detalles que solo la EPS debería conocer.
No es un escenario hipotético. En septiembre de 2026, Nueva EPS ya había alertado sobre personas que usaban el nombre de su agente interventor para pedir dinero a prestadores y ciudadanos.
Qué dice Nueva EPS
MuchoHacker.lol notificó a Nueva EPS el 4 de octubre de 2026, antes de esta publicación, y le ofreció espacio para responder. Al cierre de esta nota no había recibido respuesta. Este artículo se actualizará con su versión.
Nueva EPS está bajo intervención de la Superintendencia Nacional de Salud desde el 3 de abril de 2024.
Qué puedes hacer si estás afiliado a Nueva EPS
- Desconfía de llamadas, mensajes o correos que mencionen tus citas, exámenes o diagnósticos y te pidan dinero, claves o códigos.
- No hagas pagos para “agilizar” citas, autorizaciones o medicamentos. Los trámites de la EPS no se cobran por teléfono.
- Verifica siempre por los canales oficiales de la entidad, marcando tú mismo el número, nunca devolviendo la llamada.
- No compartas códigos que te lleguen por mensaje de texto, aunque la persona diga ser de la EPS.
- Si fuiste víctima, denuncia ante la Policía (CAI Virtual) y la Fiscalía, y reporta a la Superintendencia de Industria y Comercio.
Cómo hicimos esta verificación
MuchoHacker.lol trabaja con dos niveles de información. Lo que verificamos de forma independiente se presenta como hecho. Lo que afirma el actor se atribuye y se presenta en condicional, porque no ha sido confirmado por la entidad.
No descargamos la base completa, no contactamos al actor ni accedimos a sistemas de Nueva EPS. No publicamos datos personales ni montos de extorsión.
