El sector sanitario estadounidense vuelve a enfrentarse a una brecha de seguridad de grandes dimensiones. AdaptHealth, compañía especializada en equipos médicos y servicios de atención domiciliaria, ha confirmado que un ciberataque permitió exponer información perteneciente a más de 4,1 millones de personas.
El incidente se remonta al pasado mes de junio, aunque la empresa comunicó públicamente el problema semanas después.
La investigación realizada desde entonces ha permitido determinar tanto el alcance del acceso como el volumen de afectados.
En concreto, la notificación remitida a las autoridades estadounidenses cifra en 4.115.802 las personas cuyos datos pudieron verse comprometidos.
Los atacantes accedieron a sistemas empresariales en la nube
AdaptHealth detectó que terceros no autorizados habían logrado entrar en diferentes aplicaciones corporativas alojadas en la nube.
Entre los recursos afectados se encontraban determinados sistemas internos utilizados para gestionar pacientes, plataformas destinadas al almacenamiento documental y portales relacionados con historiales electrónicos de salud.
La compañía situó posteriormente el compromiso de sus sistemas en el 5 de junio de 2026. Diez días más tarde, el 15 de junio, un actor desconocido se puso en contacto con la empresa para exigir un rescate a cambio de no hacer pública la información obtenida.
El ataque habría comenzado mediante técnicas de ingeniería social. Los ciberdelincuentes consiguieron comprometer una cuenta con privilegios perteneciente a un contratista externo.
Este tipo de credenciales resulta especialmente sensible porque puede proporcionar permisos superiores a los disponibles para un usuario convencional y facilitar el acceso a diferentes recursos internos.
AdaptHealth informó inicialmente del incidente a la Comisión de Bolsa y Valores de Estados Unidos (SEC) el 2 de julio. En aquella comunicación ya reconocía que los atacantes habían accedido a sus sistemas y extraído información privada.
Nombres, datos sanitarios y seguros médicos entre la información expuesta
La investigación posterior permitió concretar las categorías de información potencialmente comprometidas. Dependiendo de cada persona afectada, los archivos podían contener nombres completos, datos de contacto e información demográfica.
La brecha también alcanzó información relacionada con seguros médicos y datos sanitarios.
Precisamente, la presencia de este tipo de registros eleva la sensibilidad del incidente debido al carácter personal de la documentación que manejan las compañías vinculadas a la atención sanitaria.
AdaptHealth ofrece en Estados Unidos diferentes dispositivos, suministros y servicios médicos destinados principalmente al domicilio.
Su catálogo incluye equipos utilizados para tratar la apnea del sueño, dispositivos respiratorios, sistemas de oxigenoterapia, camas hospitalarias y productos destinados a facilitar la movilidad.
AdaptHealth indicaba en 2024 que prestaba servicio aproximadamente a 4,1 millones de pacientes distribuidos por los 50 estados del país mediante una red formada por alrededor de 680 ubicaciones.
Los afectados reciben un año de monitorización de crédito
Las personas incluidas en la brecha están siendo informadas mediante notificaciones específicas. AdaptHealth ha ofrecido a los afectados la posibilidad de acceder gratuitamente durante 12 meses a servicios de monitorización de crédito y protección frente al robo de identidad.
La empresa aseguró, al informar sobre el incidente, que no había identificado evidencias que demostrasen la utilización de los datos sustraídos para cometer fraude, robo de identidad u otras actividades ilícitas.
No obstante, la exposición de información personal obliga a mantener especial vigilancia ante posibles intentos posteriores de suplantación o fraude.
La cifra oficial comunicada al Departamento de Salud y Servicios Humanos de Estados Unidos asciende exactamente a 4.115.802 personas. El volumen sitúa el incidente entre las brechas de información sanitaria relevantes conocidas durante 2026.
ShinyHunters aparece vinculado al ataque
El ciberataque ha sido relacionado con ShinyHunters, un actor conocido por la sustracción de grandes bases de datos y posteriores operaciones de extorsión. La atribución surgió después de que AdaptHealth apareciera vinculada a la actividad del grupo.
Sin embargo, existen algunos interrogantes alrededor de esta atribución.
AdaptHealth no aparecía posteriormente en el portal de extorsión utilizado por ShinyHunters, circunstancia que podría indicar que la compañía fue retirada de la lista de víctimas.
La empresa, por su parte, ha detallado el mecanismo utilizado para comprometer la cuenta del contratista, pero no ha confirmado públicamente todos los aspectos relacionados con la identidad de los responsables.
El incidente se produce, además, en un momento especialmente activo para los ataques contra organizaciones sanitarias y tecnológicas vinculadas a este sector.
Empresas como Aesto Health, CareCloud y Unlimited Technology Systems también han comunicado recientemente importantes exposiciones de información.
A ellas se suman McKesson y Nutex Health, que han reconocido igualmente incidentes de seguridad relacionados con datos, aunque todavía no han concretado públicamente el número definitivo de personas afectadas.
