The Oncology Institute informó ante el regulador de la bolsa de comercio que un proveedor externo detectó acceso no autorizado a sistemas de la compañía que incluían datos de pacientes. La empresa indicó no ha identificado impactos materiales en sus operaciones ni en la atención médica.
La red de atención oncológica “The Oncology Institute” (TOI), con más de 100 clínicas en los Estados Unidos, informó a la Comisión de Bolsa y Valores de ese país (SEC) sobre un incidente de ciberseguridad asociado a un proveedor externo de servicios de software utilizado por la compañía. La actualización fue presentada mediante un formulario 8-K fechado el pasado 20 de mayo, como seguimiento a una divulgación voluntaria realizada previamente en noviembre de 2025.
Según el documento presentado ante la SEC, la empresa fue notificada el 20 de mayo de 2026 por Kroll, administrador externo del proveedor afectado, respecto de un acceso no autorizado realizado por un tercero a determinados sistemas de información de la compañía. La notificación confirmó que entre los sistemas afectados existían entornos relacionados con datos de pacientes.
La compañía señaló que en la divulgación inicial realizada ante la SEC el 6 de noviembre de 2025, que el proveedor todavía se encontraba investigando el incidente y no podía confirmar aún evidencia de que información personal de pacientes hubiera sido comprometida como resultado de este incidente. “El proveedor indicó que la investigación aún estaba en curso y que todavía no podía confirmar ninguna evidencia de que información personal de pacientes se hubiera visto comprometida como resultado de este incidente”, indica el documento. Posteriormente, la actualización de mayo confirmó un cambio en la evaluación del alcance del incidente.
En el nuevo reporte, TOI indicó que “el 20 de mayo de 2026, Kroll, que es el administrador externo del Proveedor, notificó a la Compañía que el Proveedor había detectado un acceso no autorizado por parte de un tercero a ciertos sistemas de información de la Compañía, incluidos sistemas que afectan a los datos de los pacientes”.
TOI indicó que Kroll cree que el incidente pudo haber impactado en otros proveedores de servicios sanitarios, por lo que “el proveedor ha habilitado un portal para pacientes a través del cual pretende proporcionar información y respuestas a las consultas”.
La empresa sostuvo en su presentación que activó sus planes de continuidad tecnológica y que las operaciones no se vieron interrumpidas, mientras avanza la investigación del incidente. Además, señaló que “la compañía considera que el incidente no ha tenido un impacto significativo en sus operaciones, sistemas financieros ni en la calidad de la atención que brinda a sus pacientes, y actualmente está evaluando cualquier otro impacto significativo, si lo hubiere, incluyendo su situación financiera o resultados de operaciones”.
Hasta el momento, los actores maliciosos que perpetraron este ataque siguen sin ser identificados, y ningún grupo de ransomware se ha atribuido la responsabilidad de los incidentes.
Varios medios especializados apuntan a la empresa TriZetto Provider Solutions, una empresa de tecnología sanitaria propiedad de Cognizant, como el proveedor atacado. En marzo de este año informamos en nuestro blog sobre una filtración de datos en TriZetto Provider Solutions que expuso información confidencial perteneciente a más de 3,4 millones de pacientes. Kroll es la compañía que está gestionando la remediación de ese incidente para apoya a Trizetto.