Para: personas en Estados Unidos (y en cualquier otro lugar) que hayan llevado un monitor iRhythm Zio o estén registradas como pacientes de iRhythm, y organizaciones que guardan datos de pacientes en aplicaciones de negocio en la nube. Este artículo se basa en el propio aviso de iRhythm Technologies y no aborda técnicas de ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
A 30 de octubre de 2026Aún no se sabe
- Cifra total de personas afectadas, dada por la propia empresa
- Qué aplicaciones de terceros estaban implicadas
- Cómo funcionó la ingeniería social
- Si se publicaron o vendieron datos
- Si se ofrecerá monitoreo de crédito gratuito
En su aviso del 2 de octubre de 2026, iRhythm dice que está avisando a las personas afectadas y que no tiene pruebas de uso indebido para robo de identidad. No dice cuándo publicará más. La cifra del titular procede del listado del HHS según la prensa, no de una declaración de la empresa.
Qué deben hacer hoy los pacientes de Zio
No confíe en los enlaces ni en los números de mensajes inesperados
Nombres, domicilios, correos, teléfonos, números de seguro y fechas de servicio juntos hacen que un mensaje sobre «su monitor Zio», «un saldo impagado» o «una reclamación al seguro» parezca real. Es un razonamiento general, no un informe de que se hayan enviado esos mensajes.
Si un mensaje le pide iniciar sesión, pagar, confirmar su número de seguro o devolver la llamada, no use lo que contiene. Abra usted mismo el sitio web de su aseguradora o de iRhythm, o use el teléfono de su tarjeta del seguro (véase ¿Qué es el phishing?).
Lea los extractos de su aseguradora por si hay servicios que no reconoce
Entre los datos filtrados hay un número de seguro. En general, un número de seguro robado puede usarse para facturar atención o equipos a nombre de otra persona, lo que se llama robo de identidad médica. El aviso de iRhythm recomienda precauciones contra ello.
Inicie sesión en el sitio de su aseguradora y mire los extractos recientes de explicación de beneficios. Comunique a la aseguradora cualquier servicio que no haya recibido.
Considere un congelamiento de crédito y una alerta de fraude
El aviso menciona alertas de fraude, congelamientos de seguridad e informes de crédito gratuitos. En EE. UU., un congelamiento de seguridad en cada una de las tres agencias de crédito es gratuito e impide abrir la mayoría del crédito nuevo a su nombre hasta que lo levante.
El aviso, según se ha informado, no menciona monitoreo de crédito gratuito, así que no espere una oferta para actuar. El sitio IdentityTheft.gov de la Comisión Federal de Comercio de EE. UU. explica los pasos.
Cuente con que su fecha de nacimiento y su número de seguro seguirán siendo utilizables mucho tiempo
A diferencia de una contraseña, una fecha de nacimiento no se puede cambiar. Un número de seguro solo puede cambiarlo la aseguradora. Siga vigilando extractos e informes de crédito durante meses, no días.
Entre los datos filtrados no figura ninguna contraseña. Si reutiliza contraseñas en varias cuentas, un gestor de contraseñas sigue siendo la solución práctica.
Use solo los puntos de contacto del aviso oficial
El aviso de la empresa da una línea de atención gratuita, 1-844-770-7175, abierta de 8:00 a 20:00, hora del Este, de lunes a viernes, salvo festivos. Compárela con el aviso del propio sitio web de iRhythm, no con un número de un mensaje que haya recibido.
Qué ocurrió (según el aviso y la presentación de iRhythm)
La secuencia siguiente procede del aviso de iRhythm del 2 de octubre de 2026. Los puntos marcados como «según la prensa» proceden de la cobertura de prensa de la presentación ante la SEC y del listado del HHS.
3–8 de junio de 2026
Según la investigación forense de la empresa, se accedió a datos de ciertas aplicaciones de negocio alojadas por terceros y se descargaron.8 de junio
iRhythm detectó el acceso no autorizado (el aviso dice «en torno a» esa fecha) y activó su plan de respuesta a incidentes.9 de junio (según la prensa)
Una parte contactó con iRhythm, dijo haber tomado datos y exigió un pago, según informaron CyberInsider y HIPAA Journal.15 de junio
iRhythm informó a la SEC. Dijo que no esperaba un impacto material en sus finanzas, y repitió esa opinión en octubre.2 de octubre
Se publicó el aviso actualizado; empezó la notificación a las personas afectadas de las que la empresa tiene datos de contacto.29 de octubre (según la prensa)
SecurityWeek y CyberInsider informan de que el incidente figura en el portal de filtraciones del HHS con 8.179.772 personas.
3–8 de junio de 2026
Se accede a datos de aplicaciones de negocio alojadas por terceros y se descargan (empresa)
↓
Hacia el 8 de junio
iRhythm detecta la actividad (empresa)
↓
15 de junio
Presentación ante la SEC
↓
2 de octubre
Aviso actualizado; empieza la notificación a las personas afectadas (empresa)
↓
29 de octubre
Listado del HHS de 8.179.772 personas, según SecurityWeek y CyberInsider (no es una declaración de la empresa)
- Empresa
- iRhythm Technologies, Inc. (EE. UU.), fabricante del monitor cardíaco portátil Zio
- Dónde estaban los datos
- Ciertas aplicaciones de negocio alojadas por terceros. Las aplicaciones no se nombran
- Datos tomados
- Nombre del paciente; información de contacto (domicilio, correo electrónico, teléfono); número de cuenta de paciente de iRhythm; número de serie del dispositivo de iRhythm; número de seguro del paciente; fecha del servicio; fecha de nacimiento
- Clasificación
- La empresa dice que los datos incluyen información de salud protegida según la definición de la HIPAA
- No almacenado
- La empresa dice que no almacena información de cuentas financieras individuales ni de tarjetas de pago
- Causa
- El aviso habla de acceso no autorizado. La prensa informa de que la presentación ante la SEC lo calificó de ingeniería social, algo que no figura en el aviso. No se han divulgado los detalles
- No afectado, según la empresa
- Productos, sistemas clínicos o de dispositivos médicos, conexiones con clientes, fabricación y distribución, seguridad de los pacientes
- Respuesta
- Plan de respuesta a incidentes activado, profesionales externos de ciberseguridad contratados, investigación forense terminada, datos revisados para determinar su contenido
Qué se sabe y qué no
Estado a 30 de octubre de 2026. Cuando iRhythm publique más, actualizaremos la columna de estado.
| Elemento | Qué dicen el aviso o la presentación | Estado |
|---|---|---|
| Periodo de acceso y descarga | Del 3 al 8 de junio de 2026 | Confirmado (empresa) |
| Detección | En torno al 8 de junio de 2026 | Confirmado (empresa) |
| Datos | Nombre, información de contacto, número de cuenta de paciente, número de serie del dispositivo, número de seguro, fecha del servicio, fecha de nacimiento | Filtración confirmada (empresa) |
| Contraseñas | No figuran | No mencionado |
| Datos de tarjetas de pago y cuentas bancarias | La empresa dice que no los almacena | No incluidos (empresa) |
| Resultados de monitorización cardíaca y datos de dispositivos médicos | No figuran; la empresa dice que no hay impacto en los sistemas clínicos ni de dispositivos médicos | No mencionado (sistemas clínicos: sin impacto hallado, empresa) |
| Causa | El aviso habla de acceso no autorizado a aplicaciones de negocio alojadas por terceros. «Ingeniería social» es como BleepingComputer y otros medios describen la presentación ante la SEC; no figura en el aviso | Según la prensa (no en el aviso); detalles no divulgados |
| Número de personas | iRhythm no ha publicado un total; listado del HHS de 8.179.772 según SecurityWeek y CyberInsider | Según la prensa (no de la empresa) |
| Cifras por estado | 298.647 en Texas y 69.526 en Carolina del Sur (registros estatales según The Record; no se suman) | Según la prensa |
| Exigencia de pago | Una parte exigió un pago, según informes de prensa | Según la prensa |
| Publicación o venta de los datos | No se menciona en el aviso | No divulgado |
| Uso indebido de los datos | La empresa dice que no hay pruebas de uso indebido para robo de identidad | Sin pruebas halladas (empresa) |
| Monitoreo de crédito gratuito | No se menciona en el aviso, según se ha informado | No mencionado |
| Impacto financiero | La empresa dice que no es razonablemente probable un impacto financiero material. Por separado, BleepingComputer informa de que la empresa determinó el 10 de junio que el incidente era material por el volumen de datos implicado | Opinión de la empresa; determinación del 10 de junio según la prensa |
Cómo leer las cifras
La cifra de 8.179.772 es el listado del portal del HHS según dos medios. No hemos visto que iRhythm declare un total por sí misma. Las cifras de Texas y Carolina del Sur son mucho menores porque cada registro estatal cuenta solo a los residentes de ese estado. No sume las cifras estatales entre sí ni a la del HHS.
Para qué pueden usarse estas combinaciones de datos
En general, las combinaciones siguientes pueden usarse indebidamente como se describe. Esto no significa que haya ocurrido en este caso.
- Nombre + número de seguro + fecha de nacimiento: puede servir para facturar a una aseguradora atención a nombre de otra persona (robo de identidad médica) o para superar una comprobación de identidad débil
- Nombre + datos de contacto + fecha del servicio + número de serie del dispositivo: permite redactar un mensaje sobre «su monitor» o «su servicio reciente» que parezca proceder del proveedor o de un departamento de facturación
- Fecha de nacimiento + domicilio: datos que piden muchas comprobaciones de identidad, razón por la que conviene considerar un congelamiento de crédito
Para organizaciones que guardan datos de pacientes en aplicaciones de negocio en la nube
Según la empresa, los datos procedían de aplicaciones de negocio alojadas por terceros y se descargaron durante varios días antes de detectarse. No se ha divulgado cómo se obtuvo el acceso más allá de «ingeniería social», así que esta sección se limita a puntos que cualquier organización con una configuración similar puede revisar. No evaluamos las medidas de iRhythm.
Haga una lista de qué aplicaciones de negocio guardan identificadores de pacientes y quién puede exportarlos
Nombres de pacientes, números de seguro y números de serie de dispositivos pueden estar en herramientas de facturación, atención al cliente y citas, no solo en el sistema clínico. Haga una lista de cada aplicación que los guarda y de quién tiene derecho a exportarlos o a generar informes con ellos. El aviso traza aquí una línea: la empresa dice que los sistemas clínicos y de dispositivos no se vieron afectados, mientras que las aplicaciones de negocio sí.
Configure alertas para exportaciones y descargas grandes
La empresa dice que se accedió a los datos y se descargaron a lo largo de varios días (del 3 al 8 de junio). La mayoría de las aplicaciones de negocio pueden registrar las exportaciones masivas. Envíe una alerta a una persona designada cuando una cuenta descargue muchos más registros de lo que es normal en su uso, y asegúrese de que alguien pueda desactivar esa cuenta a cualquier hora (más información: Limitación de tasa y control de abusos).
Trate a quienes restablecen accesos como parte de la defensa
La ingeniería social apunta a las personas y a los procesos, no al software. Decida de antemano cómo verifican su identidad el personal y los equipos de soporte externos antes de restablecer una contraseña o un método multifactor, y prefiera métodos de inicio de sesión que no se puedan entregar a una persona que llama con aire convincente, como las passkeys (véase la guía de autenticación multifactor).
Opinión de este sitio: el intervalo entre la detección y el aviso forma parte de la exposición
La empresa dice que detectó la actividad en junio y empezó a avisar a las personas en octubre, y que la cifra del HHS apareció aún más tarde. Para los pacientes, son meses en los que sus datos estuvieron en manos de otra persona sin que lo supieran. Vigilar extractos e informes de crédito durante mucho tiempo es la respuesta sensata.
Fuentes (registro público)
Los hechos de este artículo proceden de las fuentes públicas siguientes. No se especula sobre métodos, aplicaciones o causas no divulgados.
- iRhythm Technologies, «Notice of Data Event» (aviso actualizado, 2 de octubre de 2026, en inglés) — irhythmtech.com
- BleepingComputer sobre la presentación de iRhythm ante la SEC del 15 de junio de 2026 (16 de junio de 2026, en inglés) — bleepingcomputer.com
- SecurityWeek, «HHS Filing Puts iRhythm Data Breach Toll at 8.2 Million» (29 de octubre de 2026, en inglés) — securityweek.com
- CyberInsider, «iRhythm's June data breach has impacted over 8.18 million people» (29 de octubre de 2026, en inglés) — cyberinsider.com
- The Record, cifras estatales de Texas y Carolina del Sur (9 de octubre de 2026, en inglés) — therecord.media
- HIPAA Journal, usado solo para el contacto del 9 de junio (19 de octubre de 2026, en inglés) — hipaajournal.com
La cifra del titular se apoya en los informes de prensa anteriores sobre el listado del portal del HHS; no hemos leído nosotros mismos la entrada del portal.
Historial de actualizaciones
2026-10-30: Primera versión, basada en el aviso de iRhythm del 2 de octubre y en informes de prensa sobre la presentación ante la SEC y el listado del HHS (29 de octubre). Actualizaremos este artículo cuando iRhythm publique un total o más detalles.
Lectura recomendada
- Otra filtración sanitaria en EE. UU. con datos de seguro médico: AdaptHealth (unos 4,1 millones de personas) (en inglés)
- Panorama: Filtraciones de datos sanitarios en EE. UU. en 2026 (en inglés)
- Estafas tras una filtración: ¿Qué es el phishing? / Conceptos básicos de seguridad del smartphone
- Un caso con un mercado de seguros médicos: Covered California (datos de agentes, phishing)
- Otros incidentes de 2026: Filtraciones de datos y ciberataques en 2026 (en inglés)