Síntesis
El fabricante de dispositivos de monitorización cardíaca comenzó a notificar a las personas afectadas por un incidente detectado en junio de este año. La investigación confirmó que terceros no autorizados accedieron y descargaron información almacenada en aplicaciones externas.
- Afectados: al menos 368.173 personas identificadas en los estados de Texas y Carolina del Sur, en los Estados Unidos.
- Datos expuestos: nombres, contactos, números de cuenta, seguros médicos y datos de dispositivos.
- Acceso no autorizado: actividad detectada el 8 de junio, con exposición de datos entre el 3 y el 8 de junio.
- Impacto operativo: la empresa no identificó afectación en sus dispositivos médicos ni en la seguridad de los pacientes.
Noticia
La empresa estadounidense de tecnología médica iRhythm Technologies informó a través de un comunicado que un incidente de ciberseguridad permitió acceder y descargar información personal y sanitaria de pacientes. El caso fue detectado en junio de 2026 y la compañía comenzó a notificar a las personas afectadas el 2 de octubre, según el aviso publicado en su sitio oficial.
El acceso no autorizado fue detectado alrededor del 8 de junio en determinadas aplicaciones empresariales alojadas por terceros. La investigación forense estableció que la información almacenada en esos sistemas fue consultada y descargada por personas no autorizadas entre el 3 y el 8 de junio.
Los datos comprometidos incluyen nombres, direcciones, correos electrónicos, números telefónicos, números de cuenta de pacientes, números de serie de dispositivos, números de seguros médicos, fechas de atención y fechas de nacimiento. La exposición comprende información de identificación como antecedentes relacionados con la atención sanitaria.
De acuerdo a lo informado por el medio especializado en ciberseguridad The Record, los registros de notificación presentados ante las autoridades estatales identifican a 298.647 personas en Texas y 69.526 en Carolina del Sur, lo que suma 368.173 afectados en esos dos estados. El medio también indica que se presentaron notificaciones en California, pero el número total de personas afectadas por el incidente no ha sido confirmado públicamente.
El incidente también tuvo una dimensión extorsiva. Según la información presentada por la empresa ante la Comisión de Bolsa y Valores de Estados Unidos (SEC) en junio pasado, un actor de amenazas se comunicó con iRhythm y exigió un pago para evitar la divulgación pública de los datos sustraídos. La compañía confirmó que parte de la información había sido extraída de las aplicaciones afectadas, aunque las fuentes consultadas no confirman si se realizó algún pago.
En su aviso oficial, iRhythm señaló que “no tenemos pruebas de que la información personal haya sido o vaya a ser utilizada para cometer robo de identidad”. La empresa indicó que comenzó a contactar a las personas afectadas de las que disponía de información de contacto y les entregó recomendaciones para proteger sus datos.
Entre las medidas recomendadas por la empresa a sus clientes figuran revisar los registros de servicios médicos y seguros, vigilar los movimientos financieros y consultar los informes de crédito para detectar actividad irregular. La compañía también aconsejó considerar alertas de fraude o bloqueos de seguridad en los archivos crediticios.
Respecto de las consecuencias operativas, la empresa declaró que “el incidente no afectó los sistemas clínicos ni los dispositivos médicos de iRhythm”. También indicó que no identificó impactos en la seguridad de los pacientes, la fabricación, la distribución ni su capacidad para atender sus necesidades.
La compañía agregó que no almacena información de cuentas financieras individuales ni datos de tarjetas de pago. Asimismo, sostuvo que el incidente no tendría un impacto material razonablemente probable en su situación financiera o en sus resultados operativos.
