Quest Diagnostics fue hackeada: datos de salud de pacientes expuestos en su segundo gran breach en una década

Los registros médicos de pacientes están comprometidos. Quest Diagnostics, uno de los gigantes globales de análisis clínicos, confirmó que sufrió un ciberataque que expuso información personal y de salud almacenada en sus sistemas.

La compañía lo reveló mediante una presentación 8-K ante la SEC —el regulador bursátil de Estados Unidos—, el canal de divulgación obligatoria para empresas cotizadas ante eventos materiales. No hubo comunicado proactivo: fue la ley la que forzó la transparencia.

El sistema atacado y lo que estaba en juego

El blanco fue Quanum, la plataforma de Quest que conecta consultorios médicos, hospitales y centros de salud para solicitar análisis de laboratorio y gestionar facturación. Según la propia empresa, cerca de medio millón de médicos en miles de ubicaciones en América del Norte utilizan el sistema.

Lo que Quanum almacena no es menor: historial clínico, datos diagnósticos, información de facturación y registros personales de pacientes. Un caso de estudio publicado en el sitio de Quest ilustra la escala: un único sistema de salud con más de seis millones de pacientes puede generar cientos de millones de documentos médicos.

Quest confirmó que los atacantes accedieron a "ciertos registros de pacientes", incluyendo "información personal y registros de pacientes", pero aún no precisó qué tipos específicos de datos fueron extraídos ni cuántos individuos resultaron afectados.

Una industria bajo asedio

Este ataque no ocurre en el vacío. El sector salud atraviesa uno de sus peores ciclos de ciberseguridad. En lo que va del año, Stryker sufrió el borrado masivo de dispositivos de empleados, Boston Scientific estuvo semanas fuera de línea por un hack que generó "disrupción global", y brechas separadas afectaron a CareCloud, Craneware y McKesson.

El patrón es consistente: cibercriminales motivados financieramente roban datos sensibles y amenazan con publicarlos si no reciben un rescate. La información médica vale más que una tarjeta de crédito en el mercado negro —no se puede cancelar ni reemplazar.

Quest no confirmó si recibió alguna demanda de rescate, ni respondió a solicitudes de comentarios adicionales.

No es la primera vez

Este es el segundo gran breach confirmado de Quest en una década. En 2019, un ataque a una empresa tercerizada de facturación resultó en la exposición de 11,9 millones de registros de pacientes.

Seis años después, la historia se repite —y la escala potencial podría ser mayor. La compañía notificó a las fuerzas de seguridad y asegura estar investigando. Mientras tanto, la página de aviso publicada en su sitio web incluye código "noindex", lo que impide que los motores de búsqueda la indexen, dificultando que los propios pacientes la encuentren.

La pregunta que queda abierta es cuántos pacientes deben preocuparse —y cuánto tiempo tardará Quest en responderles.