Los médicos curan, los hackers dañan: CareCloud ya no controla los datos de sus pacientes

La empresa CareCloud sufrió un incidente que interrumpió durante varias horas el funcionamiento de la infraestructura médica y obligó a la empresa a investigar de forma urgente una posible filtración de datos de pacientes. La interrupción fue breve, pero las consecuencias podrían ser mucho más graves.

La empresa informó a la Comisión de Valores y Bolsa (SEC) sobre un acceso no autorizado a uno de los seis entornos de registros médicos electrónicos, que ocurrió el 16 de marzo. Como resultado, algunas funciones y el acceso a los datos quedaron inaccesibles durante aproximadamente ocho horas. El sistema fue restablecido ya por la noche de ese mismo día. CareCloud contrató especialistas externos en respuesta a incidentes cibernéticos, notificó a la compañía de seguros y remitió la información a las autoridades.

Según la empresa, el ataque afectó solo a un entorno en la división CareCloud Health. Las demás plataformas, sistemas y datos no se vieron afectados. Sin embargo, el entorno afectado contiene información sobre pacientes, por lo que el equipo está evaluando si un actor malintencionado consiguió acceder a esos datos y si pudo haberse producido su extracción. También se está determinando el alcance y las categorías de una posible filtración. En la actualidad el acceso del intruso ya está cerrado y se realizan trabajos para remediar las consecuencias.

Cabe destacar que ese mismo día, 16 de marzo, también se produjo una interrupción en otra organización médica — Vanderbilt University Medical Center —, aunque no se encontró relación entre los dos sucesos. Los representantes del centro médico dijeron que la causa fue de carácter técnico y no estuvo relacionada con un ataque cibernético ni con software de extorsión. En fuentes abiertas se mencionaron posibles problemas con Epic o con actualizaciones de software. Se produjo un fallo en ese centro el mismo día.

CareCloud ofrece soluciones en la nube, sistemas de gestión de ingresos y otros servicios para organizaciones sanitarias en todo Estados Unidos. A finales de 2024 la empresa atendía a alrededor de 40 000 profesionales y aproximadamente 2 600 clínicas y hospitales privados.

El incidente encaja en la tendencia creciente de ataques contra proveedores de tecnología y servicios para la salud. Casos similares ya han afectado a compañías como Stryker y Masimo, mostrando que la vulnerabilidad de los contratistas puede interrumpir el funcionamiento de todo el sector.

CareCloud afirmó que el incidente no tuvo un impacto material en la operación. No obstante, la empresa considera la situación importante por la sensibilidad de los datos médicos y por las posibles consecuencias legales, regulatorias y reputacionales. Si la investigación confirma el acceso a la información o su filtración, la empresa podría revelar detalles adicionales y notificar a los usuarios afectados.