La empresa de salud digital iRhythm informó sobre una brecha de datos donde hackers robaron información personal y médica de pacientes mediante ingeniería social. Los atacantes exigieron un rescate para no publicar la información, aunque la compañía aseguró que sus dispositivos médicos y la seguridad de los pacientes no se vieron afectados. iRhythm ya ha iniciado una investigación con expertos en ciberseguridad para contener el incidente.



La empresa de salud digital iRhythm Holdings ha revelado una brecha de datos después de que unos hackers robaran información personal y sanitaria de pacientes almacenada en aplicaciones empresariales alojadas por terceros.

La empresa afirma que su servicio de monitorización cardíaca se ha utilizado para analizar más de 2.000 millones de horas de datos curados de latidos cardíacos de más de 12 millones de pacientes.

En una presentación ante la Comisión de Bolsa y Valores de EE. UU. (SEC) el lunes, iRhythm señaló que descubrió el incidente un día antes, lo que la llevó a iniciar una investigación con expertos externos en ciberseguridad y a activar su plan de respuesta para contener la brecha.


Añadió que los atacantes se pusieron en contacto hace una semana, el 9 de junio, exigiendo un rescate para evitar la divulgación de la información sanitaria robada en línea, pero no atribuyó el ataque a un actor de amenazas o grupo de extorsión específico.

"El 9 de junio de 2026, la Compañía recibió comunicaciones de un actor de amenazas que afirmaba haber obtenido información sensible, incluidos datos patentados, información de salud protegida de pacientes y otra información personal. Las comunicaciones del actor de amenazas exigían un pago a cambio de no divulgar públicamente esta información", afirmó iRhythm.

"Desde la recepción de las comunicaciones, la Compañía ha confirmado que ciertos datos fueron exfiltrados de esas aplicaciones. El 10 de junio de 2026, la Compañía determinó que el incidente es material dado el volumen de los datos potencialmente afectados".

La empresa también declaró que no tiene pruebas de que el incidente haya afectado a "sus productos, sistemas de dispositivos clínicos o médicos, la seguridad del paciente, las operaciones de fabricación y distribución, ni los sistemas de informes financieros", y señaló que los actores de amenazas obtuvieron acceso a los datos a través de ingeniería social.

iRhythm añadió que no almacena información de tarjetas de pago ni cuentas financieras de los pacientes, y que la brecha no afecta a sus sistemas de dispositivos clínicos o médicos.

En contacto con un portavoz de iRhythm para hacer más preguntas sobre el incidente, incluida la cantidad de personas cuyos datos personales y de pacientes quedaron expuestos, pero no se obtuvo respuesta inmediata.

El gigante farmacéutico danés Novo Nordisk, el mayor productor de insulina del mundo, también reveló una brecha de datos la semana pasada después de que unos hackers robaran información de pacientes de algunos ensayos clínicos en un incidente relacionado con sistemas informáticos internos comprometidos.

Fuente:
BleepingComputer