Quest Diagnostics, la mayor red de laboratorios clínicos de Estados Unidos, informó que sufrió un ciberataque con acceso no autorizado a historiales médicos de sus pacientes, según reveló la propia empresa ante el regulador bursátil del país.
La compañía, que según su propio sitio institucional atiende a uno de cada tres adultos estadounidenses y a la mitad de los médicos y hospitales del país cada año, detectó la intrusión el miércoles y notificó a las autoridades federales al día siguiente.
El dato quedó asentado en una presentación ante la Comisión de Bolsa y Valores de Estados Unidos (SEC, el organismo que regula los mercados financieros del país), a la que accedieron varios medios estadounidenses.
El acceso indebido afectó al Quanum Lab Services Manager, la plataforma que algunos médicos y centros de salud usan para solicitar análisis de laboratorio en nombre de sus pacientes y consultar los resultados una vez procesados. La empresa dijo que un atacante no identificado habría visto “ciertos historiales de pacientes”, aunque el alcance exacto todavía está bajo investigación.
Quest Diagnostics remarcó que, hasta el momento, el incidente no alteró de forma significativa sus operaciones comerciales y que ya trabaja junto a una firma externa de ciberseguridad para contener el ataque y determinar con precisión qué información quedó expuesta y a cuántas personas afectó.
Qué antecedentes hay de filtraciones
No es la primera vez que los sistemas de la compañía quedan comprometidos. En 2016, Quest Diagnostics reconoció la exposición de datos de contacto y resultados de laboratorio de unas 34.000 personas en una violación anterior.
El antecedente más grave ocurrió en 2019, cuando la información personal de casi 12 millones de pacientes de la empresa quedó expuesta tras un ataque a American Medical Collection Agency, un proveedor externo que gestionaba cobros para Quest Diagnostics y otros laboratorios del país.
Ese episodio de 2019 se convirtió en uno de los mayores incidentes de privacidad médica registrados en Estados Unidos y derivó en demandas colectivas contra la empresa y contra la firma de cobros responsable de resguardar los datos de los pacientes.
Por qué atacan la industria sanitaria
El nuevo ciberataque se suma a una serie de incidentes recientes contra la industria de la salud estadounidense. Según informó la agencia Reuters, fabricantes de dispositivos médicos como Abbott, Stryker, Medtronic y Boston Scientific también reportaron intrusiones en sus sistemas en los últimos meses.
La farmacéutica Novo Nordisk y el proveedor de equipos de administración de medicamentos West Pharmaceutical Services enfrentaron además amenazas similares, de acuerdo con la misma fuente, lo que refleja una presión creciente de los atacantes sobre un sector que concentra datos médicos sensibles de millones de personas en sus sistemas.
La propia Quest Diagnostics aclaró ante la agencia de noticias The Associated Press que este ataque no está relacionado con las vulnerabilidades críticas detectadas días atrás en PHP, el lenguaje de programación utilizado por el 70% de los sitios web del mundo, que esta semana obligó a una ronda urgente de parches en todo el planeta.
La distinción resulta relevante porque ambos episodios ocurrieron casi en simultáneo y generaron preocupación entre empresas de distintos rubros sobre la seguridad de sus plataformas digitales, aunque se trata de fallas y ataques de origen independiente entre sí.
Las leyes federales de salud en Estados Unidos obligan a empresas como Quest Diagnostics a notificar a los pacientes afectados una vez que se determine con precisión qué historiales quedaron expuestos, un proceso que en el episodio de 2019 demandó varios meses de investigación.
Mientras persiste la incertidumbre sobre cuántas personas resultaron afectadas esta vez, Quest Diagnostics continúa con la investigación interna y mantiene el contacto con las autoridades federales para determinar el origen y el alcance real de la intrusión a su sistema de gestión de resultados de laboratorio.
