La empresa de monitoreo cardiaco iRhythm sufrió el robo de datos personales y de salud de sus pacientes mediante un ataque de ingeniería social. Los cibercriminales intentaron extorsionar a la compañía a cambio de no divulgar la información robada. A pesar del incidente, la empresa aseguró que sus sistemas clínicos y dispositivos médicos no fueron afectados y que la operatividad se mantiene normal.



iRhythm, empresa de monitorización cardíaca, afirma que unos ladrones robaron información sanitaria de pacientes e intentaron convertirla en un beneficio económico.

El especialista en monitorización cardíaca con sede en California ofrece a los clientes un dispositivo ponible que recopila datos y luego los analiza para crear informes sobre la salud del corazón. La empresa señaló que detectó actividad no autorizada el 8 de junio e inició una investigación con la ayuda de expertos externos en ciberseguridad. Un día después, la empresa recibió mensajes de un ciberdelincuente que afirmaba haber obtenido información sensible, incluidos datos patentados de la empresa, información sanitaria protegida y otros datos personales.

Según el documento presentado por iRhythm ante la Comisión de Bolsa y Valores de EE. UU. (https://www.sec.gov/Archives/edgar/data/1388658/000138865826000055/irtc-20260610.htm), los atacantes exigieron un pago a cambio de no divulgar públicamente los datos robados. La empresa confirmó que se habían exfiltrado datos y, el 10 de junio, determinó que el incidente era material debido al volumen de información potencialmente afectada.

Aunque la empresa reveló la demanda de extorsión y la existencia de datos robados, no hizo mención alguna a negociaciones.

iRhythm dedicó una parte importante del documento a explicar lo que los atacantes no consiguieron. Según la empresa, la intrusión se limitó a aplicaciones empresariales y nunca llegó a sus sistemas clínicos, dispositivos médicos o conexiones de clientes. La atención al paciente y las operaciones diarias no se vieron afectadas.

La empresa aún no ha revelado cuántas personas pueden estar afectadas, a qué datos se accedió o qué aplicaciones alojadas por terceros estuvieron implicadas en la brecha. Tampoco ha identificado al actor de la amenaza detrás del ataque, y no se han encontrado pruebas de que grupos importantes de ransomware hayan reivindicado la responsabilidad.

El documento de la empresa afirma que los atacantes obtuvieron acceso mediante ingeniería social. Cómo ocurrió exactamente sigue sin estar claro, aunque las organizaciones sanitarias se encuentran cada vez más lidiando con campañas de phishing, estafas de suplantación de identidad del servicio de asistencia y otras formas de intrusión dirigidas a humanos diseñadas para eludir las defensas técnicas.

A la fecha de la presentación, iRhythm afirmó que no había identificado ningún acceso no autorizado en curso a sus sistemas y creía que era improbable que el incidente tuviera un impacto material en su condición financiera o resultados operativos. La empresa añadió que mantiene un seguro cibernético que puede cubrir algunas de las pérdidas asociadas a la brecha.

La revelación de iRhythm se produce menos de una semana después de que el gigante farmacéutico Novo Nordisk revelara que unos atacantes habían copiado datos de pacientes de algunos ensayos clínicos, añadiendo otro nombre del sector sanitario a una lista creciente de organizaciones que se enfrentan a robos de datos e intentos de extorsión.

Fuente:
TheRegister