Aesto Health sufre una brecha que expone los datos sanitarios y personales de más de 9,5 millones de personas

Aesto Health, una empresa estadounidense que gestiona y transfiere datos para centros sanitarios y consultas médicas, ha comunicado una brecha que afecta a 9.540.683 personas. Los atacantes sustrajeron información personal y sanitaria de algunas partes de la infraestructura Amazon Web Services (AWS) de la compañía.

La exfiltración se prolongó del 2 al 18 de diciembre de 2025. Aesto Health detectó la actividad no autorizada el 18 de diciembre de 2025, pero no fue hasta el 26 de mayo de 2026 cuando la investigación determinó qué categorías de información se habían visto comprometidas. El aviso público sobre el incidente se emitió en junio de 2026.

La brecha se notificó al Departamento de Salud y Servicios Humanos de Estados Unidos (HHS), que registró a Aesto Health en su portal dedicado a las exposiciones de datos sanitarios. Se desconoce la fecha exacta de incorporación al registro.

Se sustrajeron identificadores, datos financieros e información médica

El conjunto de información potencialmente expuesta es especialmente sensible. Incluye:

• nombres;
• números de la Seguridad Social;
• números del permiso de conducir;
• otros números identificativos;
• fechas de nacimiento;
• números de cuentas financieras;
• números de identificación fiscal;
• información médica;
• datos del seguro médico.

No se ha aclarado si todas las personas afectadas sufrieron la exposición de todas estas categorías. El total de 9.540.683 personas indica el alcance global declarado al HHS, pero no permite determinar qué datos concretos están asociados a cada afectado.

La combinación de información personal, identificadores gubernamentales, datos sanitarios y referencias financieras aumenta el riesgo frente a una brecha limitada, por ejemplo, a direcciones de correo electrónico. Estos elementos pueden combinarse para crear perfiles creíbles de las víctimas y superar controles basados en preguntas personales.

Los posibles usos indebidos incluyen el robo de identidad, la apertura fraudulenta de cuentas financieras, la suplantación de identidad y los intentos de fraude al seguro. Los datos médicos también pueden hacer más eficaces las campañas de phishing: un mensaje que menciona un centro sanitario, un tratamiento o un trámite relacionado con el seguro resulta más creíble que una comunicación genérica.

Sin embargo, no se han confirmado casos de fraude, abuso sanitario ni uso delictivo de la información sustraída. Tampoco se sabe si los datos se han publicado, puesto a la venta o compartido en entornos criminales.

La exfiltración del entorno de AWS continuó hasta su detección

Según las conclusiones de la investigación, los atacantes extrajeron datos durante un periodo de 16 días, del 2 al 18 de diciembre de 2025. El último día coincide con la fecha en que Aesto Health detectó la actividad no autorizada e inició su contención.

La empresa recurrió a especialistas externos en ciberseguridad y examinó el material afectado para identificar a las personas y las categorías de información implicadas. El análisis concluyó el 26 de mayo de 2026, más de cinco meses después de la detección inicial.

Siguen sin conocerse varios aspectos técnicos. Aesto Health no ha indicado qué servicio de AWS fue comprometido ni si el incidente afectó a sistemas de almacenamiento, máquinas virtuales, bases de datos u otros componentes cloud. Tampoco se ha descrito la configuración afectada.

También faltan datos sobre el vector de acceso inicial. No se sabe si los atacantes utilizaron credenciales robadas, claves cloud expuestas, errores de configuración, técnicas de phishing o vulnerabilidades de software. Por tanto, no es posible asociar el incidente a una CVE, a un parche pendiente o a un fallo de seguridad concreto.

No se han publicado indicadores de compromiso, como direcciones IP, dominios, hashes de archivos o patrones observables en los registros. La identidad del actor también sigue siendo desconocida. No existen confirmaciones de ransomware ni de solicitudes de rescate.

El papel de Aesto Health amplía el impacto a sus clientes sanitarios

Aesto Health tiene su sede en Birmingham, Alabama, y presta a organizaciones sanitarias servicios de migración segura de datos, intercambio de historiales médicos electrónicos y conservación de archivos heredados.

Esta función explica por qué el compromiso de un único proveedor puede afectar a millones de personas. Un operador tecnológico que concentra datos procedentes de varios centros se convierte en un punto común de la cadena de suministro: el acceso a su entorno puede exponer información perteneciente a numerosos clientes, aunque sus respectivas redes no hayan sido vulneradas directamente.

El incidente afectó a al menos dos docenas de clientes sanitarios distribuidos por varios estados de Estados Unidos. No se ha publicado la lista de organizaciones, ni se conocen la distribución geográfica o el número de personas afectadas por cada cliente.

Algunos proveedores decidieron enviar directamente las notificaciones a sus pacientes o usuarios, en lugar de delegar todo el proceso en Aesto Health. Por ello, las comunicaciones podrían proceder de distintas organizaciones sanitarias y llegar en momentos diferentes.

No ha trascendido ningún compromiso de entornos externos a las partes de AWS mencionadas. No obstante, esta ausencia de confirmaciones no demuestra que la actividad se limitara a un único recurso: sin detalles sobre la arquitectura y la investigación forense, el perímetro técnico no puede reconstruirse públicamente.

Contención confirmada, pero se desconocen las correcciones técnicas

Aesto Health afirma que contuvo el incidente poco después de detectarlo, inició una investigación y contó con expertos externos. Posteriormente analizó los datos afectados, notificó al HHS e inició las comunicaciones previstas con las personas implicadas.

Sin embargo, no se han descrito las medidas adoptadas en el entorno de AWS. Se desconoce si la empresa rotó claves, tokens y credenciales, modificó permisos cloud, aisló cuentas, corrigió configuraciones o implantó nuevos controles de monitorización.

No se ha anunciado ningún parche, ya que no se ha identificado públicamente ninguna vulnerabilidad de software. Tampoco hay información sobre la posible disponibilidad de servicios de monitorización del crédito o de protección frente al robo de identidad.

Para los clientes sanitarios, el primer paso consiste en determinar qué conjuntos de datos transitaron por el entorno comprometido o permanecieron en él. Después deben vincular esos datos con las personas afectadas, conservar las evidencias y comprobar si hubo accesos anómalos durante el periodo de exfiltración.

Desde el punto de vista técnico, conviene revisar los registros de AWS disponibles, incluidos los cambios en identidades, permisos y políticas de acceso. También deben comprobarse las descargas inusuales, las transferencias de gran volumen, las autenticaciones desde orígenes atípicos y la creación de nuevas credenciales. Estas son medidas defensivas recomendables, no acciones que Aesto Health haya confirmado haber realizado.

Qué deberían hacer las personas potencialmente afectadas

Quienes reciban una notificación de Aesto Health o de una organización sanitaria cliente deberían leerla atentamente para saber qué categorías de datos personales están asociadas a su caso. No debe darse por hecho que toda la información enumerada fue sustraída de todas las víctimas.

Se recomienda revisar los movimientos financieros, las solicitudes de crédito, las comunicaciones fiscales y la actividad relacionada con el seguro médico. Tratamientos médicos desconocidos, cambios en los datos del seguro o solicitudes de pago inesperadas pueden indicar un uso indebido de la información.

Es necesario extremar la precaución con correos electrónicos, llamadas y mensajes que mencionen el incidente. Un delincuente podría hacerse pasar por Aesto Health, una clínica, una aseguradora o un servicio de protección de identidad. Las solicitudes de contraseñas, códigos temporales, números completos de la Seguridad Social o pagos urgentes deben considerarse sospechosas.

Las comunicaciones deben verificarse contactando con la organización mediante datos de contacto obtenidos de forma independiente, sin utilizar enlaces ni números incluidos en mensajes inesperados. Siempre que sea posible, conviene activar la autenticación multifactor y sustituir las credenciales reutilizadas en varios servicios.

La magnitud de la brecha está confirmada; por ahora, no así su posterior explotación. Precisamente la variedad de los datos sustraídos exige una monitorización prolongada: los identificadores personales y la información sanitaria siguen siendo utilizables durante mucho más tiempo que una contraseña que puede cambiarse.