Quest Diagnostics confirma que registros de pacientes fueron comprometidos en un ciberataque a su plataforma de laboratorio

Quest Diagnostics reveló en un informe 8-K presentado ante la Comisión de Bolsa y Valores de Estados Unidos (SEC) que piratas informáticos obtuvieron acceso no autorizado a datos de salud y facturación de pacientes, confirmando un ciberataque del que tuvo conocimiento por primera vez el 21 de octubre, según informó primero TechCrunch. La brecha afectó a Quanum, una plataforma de laboratorio que permite a consultorios médicos, hospitales e instituciones de salud solicitar pruebas de laboratorio y gestionar la facturación, y que almacena registros de salud y médicos de los pacientes junto con datos de diagnóstico.

Quest dijo que el acceso no autorizado incluyó «ciertos registros de pacientes» y que se sustrajo información de salud protegida de algunos pacientes, incluyendo información personal y registros médicos, pero la empresa dijo que todavía está determinando exactamente qué datos se vieron afectados. Quest ha notificado a las fuerzas del orden federales y ha contratado a expertos en seguridad externos, y afirma que sus operaciones de laboratorio principales y otros sistemas de pedidos de clientes no se vieron afectados. La empresa no ha revelado cuántos pacientes o proveedores de salud están afectados, si algún grupo de piratas informáticos ha exigido un rescate, ni cuándo comenzó realmente la intrusión.

La magnitud de lo que podría estar expuesto es importante incluso sin un recuento confirmado de pacientes: Quest dice que Quanum es utilizado por cerca de medio millón de médicos en miles de ubicaciones en América del Norte, y los propios estudios de caso de la empresa describen sistemas de salud individuales con más de 6 millones de pacientes que almacenan cientos de millones de documentos médicos en la plataforma. Un aviso de seguridad que Quest publicó en su sitio web fue marcado para impedir que los motores de búsqueda lo indexaran, y un portavoz de la empresa remitió a los periodistas a ese aviso en lugar de responder preguntas directas.

Esta es la segunda gran filtración de datos revelada por Quest en aproximadamente una década. En 2019, un ciberataque a un proveedor externo de facturación expuso registros pertenecientes a 11,9 millones de pacientes de Quest. La nueva brecha también se produce en medio de una ola de ataques contra empresas de salud y tecnología médica en 2026: el fabricante de dispositivos médicos Boston Scientific tuvo su red fuera de línea durante semanas tras un ataque en agosto, la empresa de tecnología médica Stryker sufrió el borrado masivo de dispositivos de empleados en marzo, y brechas separadas este año han afectado a CareCloud, Craneware y McKesson. Los proveedores de salud siguen siendo uno de los sectores más atacados por ransomware y robo de datos, porque los registros de pacientes combinan un alto valor de reventa en mercados criminales con sistemas que a menudo son difíciles de desconectar para actualizaciones de seguridad sin interrumpir la atención al paciente.