CITGO Petroleum Corporation está notificando a sus empleados actuales y anteriores que su información personal quedó expuesta, no porque los sistemas de CITGO fueran pirateados, sino porque un proveedor ubicado dos niveles más abajo en su cadena de administración de beneficios, Paylogix, LLC, sufrió una brecha de seguridad hace casi un año.
CITGO Petroleum Corporation , la refinería con sede en Houston, ha comenzado a notificar a las personas vinculadas a la empresa que su información personal podría haber quedado expuesta en una filtración de datos. Según la carta de notificación de CITGO , la empresa contrató a Mercer Health & Benefits Administration LLC para administrar los programas de beneficios voluntarios para sus empleados, incluyendo la cobertura prepagada de asistencia legal, accidentes y enfermedades graves. Mercer, a su vez, contrató a Paylogix, LLC para gestionar los datos de dichos programas. Paylogix identificó un incidente en sus sistemas en noviembre de 2025 y determinó que la intrusión ocurrió aproximadamente entre el 13 y el 18 de noviembre de 2025. CITGO afirma que no se enteró de que el incidente afectaba a personas vinculadas a la empresa hasta el 27 de julio de 2026, más de ocho meses después de la intrusión. La carta de notificación de CITGO tiene fecha del 12 de agosto de 2026.
Fuente: Carta de notificación de CITGO Petroleum Corporation; Informe de violación de seguridad de datos del Fiscal General de Texas, publicado el 25/09/2026 (1,907 residentes de Texas); Informe anual de violación de datos de OCABR de Massachusetts, fila 2026-1449, presentado el 27/08/2026 (5 residentes de Massachusetts).
Una brecha de seguridad provocó la exclusión de dos proveedores de CITGO.
La carta de CITGO es directa sobre dónde ocurrió la filtración: “Este incidente ocurrió dentro de los sistemas de Paylogix. La red y los sistemas de CITGO no se vieron afectados”. CITGO es una de las muchas empresas cuyos datos de beneficios para empleados pasaban por Paylogix; la carta indica que “datos de otras empresas además de CITGO se vieron afectados en relación con este incidente”. Si su plan de beneficios, ya sea en CITGO o en cualquier otro empleador, utilizaba Mercer Health & Benefits Administration y Paylogix para administrar programas de beneficios voluntarios, es posible que haya recibido una notificación sobre esta misma filtración subyacente bajo el nombre de otra empresa.
¿Qué información fue expuesta?
La carta de CITGO a los destinatarios individuales utiliza una plantilla de campos combinados que no especifica los datos exactos de cada persona. Sin embargo, los documentos regulatorios presentados por CITGO son más específicos: un documento presentado en Texas que abarca a 1,907 residentes de Texas confirma que se incluyeron números de Seguro Social, información sobre seguros médicos y fechas de nacimiento, y un documento anterior presentado en Massachusetts que abarca a 5 residentes también confirma los números de Seguro Social.
Su información de identificación personal (IIP) incluye datos que permiten identificarle, como su nombre y otros datos personales. Las organizaciones que gestionan datos sanitarios están obligadas por ley a proteger esta información. Cuando la IIP queda expuesta en una filtración de datos, los ciberdelincuentes pueden utilizarla para cometer robo de identidad, fraude financiero u otros abusos.
Gran parte de la información relacionada con este incidente también podría considerarse Información de Salud Protegida (PHI, por sus siglas en inglés). La PHI incluye datos médicos o relacionados con la atención médica, protegidos por las leyes federales y estatales de privacidad. Cuando la PHI se ve comprometida, puede utilizarse indebidamente para el robo de identidad médica o el fraude al seguro.
Los residentes de California pueden tener derecho a protecciones adicionales en virtud de la Ley de Privacidad del Consumidor de California (CCPA, por sus siglas en inglés), que proporciona derechos mejorados con respecto a la recopilación, el uso y la protección de la información personal.
Dos notificaciones, una infracción
La carta de CITGO indica que las personas afectadas podrían recibir una notificación por separado directamente de Paylogix sobre este mismo incidente, y que no es necesario responder a ambas: se pueden utilizar los servicios de protección ofrecidos por CITGO, por Paylogix o por ambos. Si recibió una carta de CITGO o de Paylogix que hace referencia a un incidente de datos durante este período, es probable que se trate de la misma brecha de seguridad.
Lo que puedes hacer ahora
- Inscríbase en el programa gratuito de 24 meses de monitoreo de crédito Epiq 3-Bureau – Plus que se ofrece en la carta de notificación de CITGO antes de la fecha límite de inscripción.
- Si Paylogix ofrece por separado servicios de monitoreo de crédito, puede inscribirse en cualquiera de los dos servicios, en ambos o en ninguno.
- Se ha confirmado la exposición de números de Seguro Social, y se ha activado una alerta de fraude o un bloqueo de crédito con las tres principales agencias de crédito.
- Revise los estados de cuenta de explicación de beneficios de su seguro médico para ver los servicios que no recibió.
- Si recibió una carta de notificación de CITGO o de Paylogix con respecto a este incidente, contáctenos para una revisión gratuita de su caso.
¿Tiene opciones legales?
Los empleadores y los proveedores que contratan para administrar los beneficios de los empleados tienen la obligación legal de proteger los números de la Seguridad Social, la información del seguro médico y otros datos personales relacionados con dichos programas. Si recibió una notificación de CITGO o Paylogix sobre esta filtración, es posible que tenga opciones legales.
Si ha recibido una notificación de violación de datos de CITGO o Paylogix, póngase en contacto hoy mismo con Emery | Reddy para una revisión gratuita de su caso.
Preguntas Frecuentes
¿Qué información quedó expuesta en la filtración de datos de CITGO/Paylogix?
Los documentos presentados por CITGO ante los organismos reguladores confirman que, al menos para algunas de las personas afectadas, se utilizaron números de la Seguridad Social, información sobre seguros médicos y fechas de nacimiento.
¿Fue hackeada la propia CITGO?
No. La propia carta de notificación de CITGO establece claramente que el incidente ocurrió dentro de los sistemas de Paylogix, LLC, un proveedor contratado por el administrador de beneficios de CITGO, Mercer Health & Benefits Administration LLC, y que la red y los sistemas de CITGO no se vieron afectados.
¿Cuántas personas están afectadas?
CITGO no ha publicado ninguna cifra total a nivel nacional. Los documentos regulatorios confirman que 1,907 residentes de Texas y 5 de Massachusetts se vieron afectados, y la carta de CITGO indica que personas vinculadas a otras empresas, además de CITGO, también se vieron afectadas por el mismo incidente de Paylogix.
¿Cuánto tiempo se tardó en notificar a las personas afectadas?
Paylogix identificó el incidente en noviembre de 2025, y la intrusión en sí data de mediados de noviembre de 2025. CITGO afirma que no supo que la brecha de seguridad afectó a personas vinculadas a CITGO hasta el 27 de julio de 2026, y su carta de notificación está fechada el 12 de agosto de 2026, aproximadamente nueve meses después de que ocurriera la brecha.
Trabajo para otra empresa, pero utilizo el mismo proveedor de beneficios. ¿Podría verme afectado también?
Posiblemente. La carta de CITGO indica que datos de otras compañías también se vieron afectados por este mismo incidente de Paylogix. Si el programa de beneficios voluntarios de su empleador (cobertura prepagada para servicios legales, accidentes o enfermedades graves) era administrado por Mercer Health & Benefits Administration y Paylogix, usted podría verse afectado incluso si nunca trabajó para CITGO.
¿Tengo derecho a reclamar legalmente?
Los empleadores y los proveedores que contratan para administrar los beneficios de los empleados tienen la obligación legal de proteger la información personal y de salud involucrada. Si recibió una notificación de CITGO o Paylogix, comuníquese con los abogados especializados en filtraciones de datos de Emery | Reddy al 916.995.5968 o visite www.emeryreddy.com para una revisión gratuita de su caso. No cobramos honorarios a menos que obtengamos una compensación.
