Epic pausa el desarrollo de productos para corregir fallos de seguridad que ponen en riesgo datos médicos
Epic, la empresa líder mundial en tecnología médica que desarrolla MyChart, una plataforma ampliamente utilizada para acceder a registros clínicos de pacientes, ha decidido detener la mayor parte de su desarrollo de productos durante al menos seis semanas. Esta medida se toma tras la identificación de vulnerabilidades de seguridad mediante un modelo avanzado de ciberseguridad de Anthropic, llamado Mythos, que reveló posibles brechas que podrían permitir el acceso no autorizado a información sensible de pacientes.
Según informó la fundadora y directora ejecutiva de Epic, Judy Faulkner, a Modern Healthcare, esta pausa es necesaria para «proteger» los sistemas de la empresa. Aunque Epic no ha revelado los detalles específicos de las fallas encontradas, el director de seguridad de la compañía, Stirling Martin, confirmó a The Times que ciertas configuraciones del sistema MyChart podrían permitir a atacantes acceder a registros médicos sin dejar rastro en los registros del sistema.
Martin indicó que, aunque el modelo de inteligencia artificial no determinó si los fallos podían ser explotados para modificar datos de pacientes sin ser detectados, consideró que el riesgo era suficientemente alto como para actuar con urgencia. La empresa no ha compartido información sobre cómo se pueden explotar estas vulnerabilidades, pero advirtió que cualquier brecha podría comprometer sistemas distribuidos en múltiples hospitales y consultorios médicos en todo Estados Unidos.
MyChart es utilizado por más de 320 millones de pacientes en el país, y aunque Epic asegura que no tiene acceso directo a los datos médicos de sus clientes, sí es responsable de mantener la integridad de su infraestructura. Esto significa que cualquier vulnerabilidad en su software puede ser aprovechada por atacantes para acceder a información médica sensible, lo cual representa un riesgo significativo para la privacidad de los pacientes.
La decisión de Epic de suspender temporalmente el desarrollo de nuevos productos es poco común en el sector tecnológico, especialmente en un momento en que la inteligencia artificial está siendo cada vez más utilizada para identificar y explotar vulnerabilidades. Las herramientas de IA han aumentado la capacidad de los atacantes para encontrar puntos débiles en sistemas complejos, lo que ha generado preocupación entre expertos en ciberseguridad.
Los incidentes de ciberataques en el sector salud han aumentado drásticamente en los últimos años. Un ejemplo emblemático fue el ataque de ransomware en 2024 a Change Healthcare, propiedad de UnitedHealth, que afectó a más de 192 millones de personas. Los atacantes robaron datos médicos y la empresa pagó dos veces al grupo para evitar la divulgación pública de la información robada.
Otros incidentes recientes incluyen una filtración de datos en CareCloud, una empresa líder en almacenamiento de registros electrónicos médicos, donde se comprometieron millones de registros. Además, McKesson, distribuidor farmacéutico, sufrió una violación de seguridad que expuso grandes volúmenes de datos de pacientes. En el Reino Unido, la empresa Craneware también fue víctima de un ataque, afectando sistemas utilizados en Norteamérica.
El Departamento de Salud y Servicios Humanos de EE.UU. ha reportado hasta ahora el mayor robo de datos relacionado con la salud en 2026 como el incidente en DentaQuest, una compañía de seguros dentales que afectó a 15 millones de personas. Estos eventos subrayan la creciente amenaza que representan los ciberataques en el ámbito sanitario, donde los datos son altamente valiosos para los delincuentes.
La respuesta de Epic refleja una nueva tendencia en la industria: la necesidad de priorizar la seguridad sobre el crecimiento y la innovación cuando se detectan riesgos críticos. Este enfoque puede ser visto como una señal de que los proveedores de tecnología médica deben reevaluar sus estrategias de protección ante la evolución constante de los métodos de ataque.
La situación plantea preguntas importantes sobre la responsabilidad de las empresas tecnológicas en la protección de datos sensibles, especialmente en sectores tan delicados como la atención médica. La colaboración entre empresas de tecnología y proveedores de salud será clave para enfrentar estos retos en un entorno cada vez más complejo y amenazado por ciberataques.
Traducción y adaptación por Tecnología 365.
Fuente original: TechCrunch