Una doble filtración sin precedentes

El sector sanitario estadounidense está bajo el asedio de los ciberdelincuentes. En las últimas semanas, dos grandes empresas —CareCloud y McKesson— han confirmado filtraciones masivas de datos que exponen la información personal y médica de millones de pacientes. CareCloud, proveedor de historiales médicos electrónicos, y McKesson, uno de los mayores distribuidores farmacéuticos del país, han visto comprometidos sus sistemas cloud, revelando datos que van desde números de la Seguridad Social hasta diagnósticos y notas clínicas.

CareCloud: 3,75 millones de registros comprometidos

CareCloud, con sede en Nueva Jersey, presentó una notificación ante el Departamento de Salud y Servicios Humanos (HHS) a mediados de agosto confirmando que los hackers accedieron a los datos de más de 3,75 millones de personas. La compañía, que ofrece almacenamiento de registros médicos electrónicos y gestiona facturación en nombre de hospitales y consultorios, ya había informado del ataque en marzo pero sin revelar la magnitud. Según la notificación, los atacantes accedieron durante seis días a un entorno de almacenamiento en la nube y posteriormente exfiltraron información desde una cuenta de Amazon Web Services. Los datos robados incluyen nombres, direcciones postales, números de la Seguridad Social, información médica y sanitaria, números de identificación gubernamentales como pasaportes y licencias de conducir, así como datos bancarios y financieros. Esta filtración se sitúa actualmente como la quinta mayor brecha de datos sanitarios registrada en 2026, según el recuento del HHS. El número de afectados fue revisado al alza en una actualización posterior, aunque no está claro si la cifra aumentará aún más.

CareCloud no ha hecho comentarios públicos adicionales desde que notificó el incidente en marzo. El consejero delegado, Stephen Snyder, no ha respondido a preguntas sobre si la empresa pagó un rescate, quién es el responsable de ciberseguridad o si tiene previsto dimitir.

McKesson: el grupo ShinyHunters exige 55 millones

A finales de agosto, McKesson —gigante texano de la distribución farmacéutica— confirmó que hackers habían accedido a varias de sus cuentas cloud y extraído datos. En un comunicado en su sitio web, la compañía advirtió que esperaba una «degradación intermitente del servicio» como consecuencia del incidente. En una notificación aparte a clientes, el director de tecnología, Francisco Fraga, indicó que los datos robados pertenecen a las unidades de oncología y especialidades múltiples y médico-quirúrgica.

El grupo de hackers ShinyHunters, conocido por sus tácticas de extorsión, reivindicó el ataque. Según explicaron a TechCrunch, lograron acceder al entorno cloud de McKesson engañando a varios empleados mediante técnicas de phishing e ingeniería social. Los hackers aseguraron haber robado millones de filas de datos de pacientes desde las plataformas Snowflake y Salesforce de la compañía, aunque no precisaron cuántas personas se verían afectadas. La información sustraída incluye nombres, direcciones, números de la Seguridad Social, diagnósticos, medicamentos, alergias y notas de pacientes, así como datos personales de empleados, como sus direcciones particulares. ShinyHunters compartió capturas de pantalla y una muestra de los datos con TechCrunch, que verificó un pequeño subconjunto contra registros públicos.

Según el medio Bleeping Computer, los atacantes exigieron un rescate de 55 millones de dólares a cambio de no publicar los archivos robados. Un portavoz de McKesson no respondió a las solicitudes de comentarios.

Una oleada de ataques sin precedentes

Estos incidentes no son casos aislados. En lo que va de año, el sector sanitario estadounidense ha sido blanco de múltiples ciberataques de gran envergadura. La aseguradora dental DentaQuest sufrió la mayor brecha del año, con al menos 15 millones de personas afectadas. También se registraron filtraciones en TriZetto (3,4 millones de afectados), Craneware, Boston Scientific, Stryker, Abbott Laboratories y Medtronic. El grupo ShinyHunters también ha reivindicado ataques contra OneMedical, propiedad de Amazon, y la propia DentaQuest.

Los portavoces de CareCloud y McKesson no han respondido a las preguntas sobre si se pagaron rescates o si se implementaron medidas de seguridad adicionales tras los ataques.