Quest Diagnostics, uno de los mayores laboratorios de análisis clínicos de Estados Unidos, ha confirmado un ciberataque contra uno de sus sistemas en el que, según la propia compañía, un tercero no autorizado accedió a «determinados historiales de pacientes». Por ahora no ha precisado cuántas personas están afectadas ni qué tipo de datos concretos se han visto comprometidos.
La empresa lo comunicó en un formulario 8-K presentado ante la Comisión de Bolsa y Valores de Estados Unidos (SEC), una notificación obligatoria para las compañías cotizadas.
Qué ha pasado
Según el documento, el 21 de octubre Quest detectó un acceso no autorizado a Quanum LSM, el sistema que algunos de sus clientes usan para solicitar pruebas y recibir y consultar los resultados. La compañía activó sus procedimientos de respuesta ante incidentes para contener la actividad, avisó a las autoridades federales y contrató a expertos externos en ciberseguridad. «Aunque el alcance total del acceso no autorizado sigue bajo investigación, en este momento la compañía cree que un tercero no autorizado accedió a determinados historiales de pacientes», señala el texto. Quest asegura que el incidente no ha afectado de forma material a su actividad ni a su capacidad de atender a los pacientes.
Un sistema con mucha información sensible
Según TechCrunch, Quanum permite a consultas médicas, hospitales y otros centros sanitarios pedir análisis para sus pacientes y gestionar también la facturación, por lo que almacena historiales médicos y datos diagnósticos y de facturación asociados. La propia Quest afirma que lo utilizan alrededor de medio millón de profesionales sanitarios en miles de centros de Norteamérica.
En el aviso de seguridad publicado en su web, la empresa indica que se vieron afectados «información personal e historiales de pacientes», aunque todavía investiga qué datos concretos se llevaron. TechCrunch señala además que esa página incluía una etiqueta «noindex», que pide a los buscadores que no la muestren en sus resultados y la hace mucho más difícil de encontrar.
Muchas preguntas sin respuesta
Quest no ha explicado cuándo empezó la intrusión ni si algún grupo de ciberdelincuentes se ha puesto en contacto con la empresa para exigir un rescate a cambio de no publicar los datos. Una portavoz se limitó a remitir a TechCrunch al aviso de seguridad. No es la primera vez: en 2019 la compañía ya perdió 11,9 millones de historiales de pacientes por un ataque a una empresa externa de facturación.
Un año negro para la sanidad
El caso se suma a una larga lista de incidentes en el sector sanitario en 2026. Según TechCrunch, en marzo un ataque borró en masa los dispositivos de los empleados del fabricante de tecnología médica Stryker, y en agosto un hackeo dejó sin red durante semanas al fabricante de implantes Boston Scientific. A lo largo del año también se han producido grandes filtraciones de datos de pacientes en CareCloud, en la escocesa Craneware y en el distribuidor farmacéutico McKesson. Las empresas de tecnología sanitaria se han convertido en un objetivo prioritario para los ciberdelincuentes con ánimo de lucro, que buscan robar la mayor cantidad posible de datos y amenazan con publicarlos si no se les paga.