WS Audiology (WSA), empresa matriz de Widex y Signia, está investigando un incidente de ciberseguridad tras el acceso no autorizado a parte de su infraestructura informática. Para contener la amenaza, la compañía desconectó diversos sistemas internos y de atención al cliente, lo que ha provocado la interrupción de los servicios digitales para usuarios de audífonos y profesionales del sector. No obstante, WSA aclaró que los dispositivos auditivos en sí no se han visto afectados.

WS Audiology (WSA), la empresa matriz de Widex y Signia, está investigando un incidente de ciberseguridad después de que personas no autorizadas accedieran a partes de su infraestructura de TI.

La empresa desconectó sistemas internos y orientados al cliente seleccionados para contener la amenaza, interrumpiendo los servicios digitales utilizados por los usuarios de audífonos y los profesionales del cuidado auditivo.

Sin embargo, WSA afirmó que los audífonos en sí no se vieron afectados. El incidente resalta cómo la interrupción de las aplicaciones de soporte puede afectar a los pacientes incluso cuando los dispositivos médicos siguen funcionando.

Una distinción similar surgió durante la brecha de la plataforma de Quest Diagnostics, donde el acceso a un servicio fue suspendido mientras las operaciones principales continuaban.

Para los clientes de WSA, el impacto inmediato involucró los controles de las aplicaciones, las herramientas de ajuste y el soporte remoto, en lugar de un fallo confirmado del hardware de los audífonos.

Informes de Hearing Tracker señalaron el acceso no autorizado y las interrupciones del servicio, pero no identificaron malware, ninguna familia de ransomware ni a un atacante.

Su informe del 30 de octubre citó la respuesta de WSA y describió los problemas reportados por los usuarios. Por lo tanto, la evidencia disponible respalda la notificación de una brecha de seguridad de TI, no la atribución del incidente a un programa malicioso específico.

Vulneran los sistemas de TI de WS Audiology

WSA dijo que actuó inmediatamente después de identificar el incidente y trabajó con sus socios globales de TI para contenerlo. La empresa describió el entorno afectado como su propia infraestructura de TI.

Las operaciones comerciales y los servicios principales continuaron, aunque los apagados protectores causaron interrupciones. La restauración procedía por fases, restableciendo los sistemas afectados según su prioridad.

Widex Compass Cloud, utilizado por profesionales auditivos para el ajuste y la sintonización fina, fue puesto fuera de línea como precaución. Para la actualización del 30 de octubre, WSA dijo que ya era plenamente funcional, permitiendo que los ajustes de Widex Allure y Allure AI procedieran normalmente.

Un portavoz enfatizó que la amenaza de seguridad no fue causada por el software basado en la nube de la empresa y que Compass Cloud había sido desconectado deliberadamente.

Desconectar los sistemas puede crear una interrupción visible incluso cuando el apagado es una decisión defensiva. Durante el incidente del New York Blood Center, algunos sistemas seleccionados fueron desconectados de manera similar durante la contención.

Ese caso involucró ransomware confirmado; la divulgación de WSA no establece la misma causa. La comparación se refiere a la medida de respuesta, no a un atacante compartido, método de infección o familia de malware.

La aplicación Widex MOMENT estuvo entre los servicios más afectados. HearingTracker informó que algunos usuarios no podían acceder a los ajustes de escucha, a pesar de que sus dispositivos seguían amplificando el sonido.

Un participante de un foro describió que no podía seleccionar un ajuste preestablecido para el aula mientras enseñaba. Otros usuarios reportaron dificultades para acceder a los controles de la aplicación, demostrando cómo la disponibilidad del software puede influir en la comunicación diaria sin deshabilitar el dispositivo subyacente.

WSA esperaba que la aplicación MOMENT regresara durante el fin de semana posterior a su declaración del 30 de octubre. Se esperaba que Signia TeleCare volviera a principios de la semana siguiente, mientras que los audífonos Signia aún podían ser ajustados y calibrados.

Estas eran estimaciones de recuperación, no una confirmación de que la restauración hubiera terminado. WSA también dijo que sus sitios de comercio electrónico seguían operativos y que los pedidos existentes continuaban procesándose y enviándose.

La investigación deja sin aclarar el método de ataque y la exposición de datos

El relato público no identifica cómo entraron los intrusos en el entorno de WSA, a qué sistemas accedieron ni si robaron información.

No se reveló ninguna vulnerabilidad explotada, cuenta comprometida o actividad de cifrado. Esas lagunas son importantes porque el acceso no autorizado, la interrupción del servicio y el robo de datos son hallazgos distintos. La evidencia de uno no prueba automáticamente los demás.

La brecha de la infraestructura de TI de CareCloud ilustra por qué esa distinción es importante: restaurar el servicio e investigar la posible exposición de información de los pacientes eran tareas separadas.

Del mismo modo, las caídas de las aplicaciones de WSA no establecen que se hayan robado registros de pacientes. Los clientes y las clínicas necesitan más hallazgos antes de sacar conclusiones sobre la confidencialidad, el alcance total del acceso o cualquier obligación de notificación derivada de este incidente.

HearingTracker también hizo referencia a una brecha separada de WSA en julio de 2024 que afectó a un sistema de TI minorista local que servía a las operaciones de Bloomhearing. Según el informe, ese incidente anterior expuso información de pacientes y empleados.

Sin embargo, la divulgación actual no proporciona base alguna para vincular los dos eventos. Tratarlos como una sola campaña iría más allá de la evidencia disponible.

Indicadores de compromiso (IoCs):-

Nota: Las direcciones IP y los dominios están "desactivados" intencionalmente (por ejemplo, [.]) para evitar la resolución accidental o el hipervínculo. Solo vuelve a activarlos dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.