Aesto Health, empresa que ofrece servicios de migración y archivo de datos médicos para hospitales y clínicas en los Estados Unidos, confirmó hace algunos días atrás una brecha de seguridad que comprometió información de sus pacientes.
La compañía, con sede en la ciudad de Birmingham, en el estado de Alabama, había informado por primera vez del incidente el 24 de junio de 2026, señalando en ese momento que solo “una porción limitada” de su infraestructura en Amazon Web Services había sido comprometida.
Según el comunicado inicial, la intrusión real ocurrió entre el 2 y el 18 de diciembre de 2025, aunque solo fue confirmada internamente el 26 de mayo de 2026, tras una investigación forense con especialistas externos.
En su más reciente reporte al Departamento de Salud y Servicios Humanos del gobierno de los Estados Unidos (HHS), Aesto Health indicó que la brecha afectó a 9.540.683 personas, lo que la convierte en la segunda mayor filtración de datos de salud confirmada en lo que va del 2026, solo detrás de la de DentaQuest, con 15 millones de registros.
La información comprometida incluye nombres completos, números de Seguro Social, fechas de nacimiento parciales, números de licencia de conducir, números de identificación estatal, números de cuentas financieras, números de identificación tributaria, historiales médicos, información de reclamos y facturación, y datos de seguros de salud.
Según HIPAA Journal, al menos 35 proveedores de salud clientes de Aesto se vieron afectados, entre ellos VillageMD, Everside Health, Marana Health y Together Women’s Health. Algunos de estos clientes reportaron cifras propias: Village Practice Management confirmó más de 25 mil pacientes afectados, y Everside Health notificó cerca de 22 mil personas solo en el estado de Washington.
Aesto comenzó a notificar a sus clientes institucionales a partir del 26 de junio, y recién el 21 de agosto empezó a notificar directamente a las personas afectadas, ofreciendo 24 meses de protección contra robo de identidad y monitoreo de crédito a través de Experian.
En su notificación oficial, la compañía confirmó que cierta información de salud protegida “pudo haber sido accedida y/o adquirida por un actor no autorizado”. Aesto también aclaró que no tenían “evidencia de robo de identidad o fraude financiero relacionado con este incidente”.
Hasta la fecha, ningún grupo cibercriminal se ha atribuido públicamente el ataque, y la empresa no ha respondido a las solicitudes de comentarios de los medios sobre el incidente.
