Por Canuto  

iRhythm informó que una intrusión en aplicaciones empresariales alojadas por terceros permitió descargar datos personales de al menos 360.000 personas. La compañía sostiene que el incidente no afectó sus dispositivos médicos ni interrumpió sus operaciones.
***

  • Los reportes estatales identifican a 298.647 personas afectadas en Texas y 69.526 en Carolina del Sur; iRhythm también presentó notificaciones en California.
  • La empresa atribuyó el acceso a un ataque de ingeniería social contra aplicaciones empresariales de terceros y confirmó que hubo datos exfiltrados.
  • iRhythm dijo que sus sistemas clínicos, dispositivos, fabricación y distribución no sufrieron interrupciones, y que no tiene evidencia de uso de la información para robo de identidad.

Filtración de datos en iRhythm afecta a cientos de miles de personas

Una intrusión en aplicaciones de terceros

El fabricante de dispositivos médicos iRhythm comunicó que un ciberataque ocurrido en junio de 2026 expuso información personal de al menos 360.000 personas. La compañía empezó a presentar notificaciones ante reguladores estatales y a informar a quienes podrían estar afectados, mientras una investigación interna determinó que los atacantes accedieron a aplicaciones empresariales alojadas por proveedores externos.

Los reportes identifican a 298.647 personas en Texas y a otras 69.526 en Carolina del Sur, cifras que suman 368.173 registros entre esos dos estados. iRhythm también presentó notificaciones en California, pero su portavoz no entregó a Recorded Future News un total definitivo de afectados y señaló que la compañía notificó a las personas y autoridades correspondientes una vez verificado el alcance del incidente.

Una notificación presentada en California consigna el 3 de junio de 2026 como fecha de la brecha. iRhythm informó que la actividad no autorizada se extendió del 3 al 8 de junio. Según la compañía, la intrusión alcanzó aplicaciones empresariales alojadas por terceros no identificados y se produjo mediante ingeniería social, una táctica que busca manipular a personas para conseguir acceso o información.

La compañía confirmó que los intrusos accedieron a los datos y los descargaron, pero no atribuyó públicamente el ataque a un grupo específico. Tampoco se ha informado de que algún colectivo de ciberdelincuentes se haya adjudicado la operación, por lo que la identidad de los responsables y los detalles técnicos del acceso no aparecen establecidos en la información divulgada.

Qué información quedó expuesta y qué sostiene la compañía

El conjunto de datos robados incluye nombres, direcciones y números de teléfono, además de números de cuenta de pacientes de iRhythm y números de serie de dispositivos de la empresa. También comprende números de seguro de los pacientes, fechas de servicio y fechas de nacimiento, una combinación de información personal y vinculada a la atención médica que puede requerir especial cautela por parte de quienes reciban una notificación.

iRhythm afirmó que, hasta el momento, no tiene evidencia de que la información personal haya sido o vaya a ser utilizada para cometer robo de identidad. Esa declaración expresa la evaluación de la compañía, pero no elimina el hecho central comunicado por ella: los atacantes descargaron información de aplicaciones empresariales. La empresa no detalló en el material publicado qué medidas concretas deberían tomar los afectados.

En un formulario 8-K presentado en junio ante la Comisión de Bolsa y Valores de Estados Unidos, iRhythm dijo que recibió comunicaciones de un actor de amenazas que aseguraba haber obtenido información sensible. Según el documento, el actor afirmó contar con datos propietarios, información de salud protegida de pacientes y otros datos personales, y exigió un pago para no divulgar públicamente esa información.

La empresa indicó en ese mismo reporte que, después de recibir las comunicaciones, confirmó que ciertos datos habían sido extraídos de las aplicaciones. La existencia de una exigencia de pago forma parte de lo comunicado por iRhythm sobre las amenazas recibidas; no equivale, por sí sola, a una confirmación de que la compañía pagara o de que toda la información mencionada por el actor hubiera sido sustraída.

El alcance operativo y la exposición del sector

iRhythm sostuvo que la intrusión no afectó sus sistemas clínicos ni sus dispositivos médicos, y que no provocó pérdida del servicio ni interrupciones en las operaciones. La compañía también dijo que el ataque no alcanzó sus productos, procesos de fabricación o distribución, y aseguró que sus finanzas no resultaron afectadas, una distinción importante frente al robo de datos que sí confirmó.

La firma es conocida por el Zio Patch, un sensor que los pacientes llevan en el pecho para el monitoreo cardíaco continuo a largo plazo y la detección de arritmias. La información divulgada no indica que el dispositivo o sus mediciones hayan sido comprometidos; el incidente descrito se concentró en aplicaciones empresariales de terceros y en datos almacenados en esos sistemas.

La compañía reportó ingresos de USD $224,2 millones en el segundo trimestre. Esa cifra aparece en la cobertura del incidente como referencia sobre la actividad financiera de iRhythm, mientras la propia empresa sostiene que la intrusión no afectó sus finanzas; la información disponible no atribuye a la brecha un impacto sobre esos ingresos.

El caso se suma a una serie de incidentes que, según la información publicada, han golpeado durante los últimos dos años a empresas de dispositivos médicos. Se mencionan ataques contra Medtronic, Boston Scientific, Stryker, UFP, Masimo, Surmodics, Artivion y Zoll, con filtraciones de datos médicos sensibles y problemas para sistemas de negocio, fabricación o cadenas de suministro.

La información disponible deja abiertos varios puntos: iRhythm no comunicó un total global de afectados, no identificó a los proveedores externos implicados y no se conoce públicamente quién perpetró el ataque. Por ahora, la empresa afirma que notificó a las personas y a los reguladores correspondientes, que no detecta uso de los datos para robo de identidad y que sus dispositivos y operaciones continuaron funcionando.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados