Brecha de datos en One Medical: ShinyHunters amenaza con filtrar 8.8TB

El ecosistema de salud digital de Amazon se encuentra en su momento de mayor tensión tras confirmarse una preocupante brecha de datos que afecta a su división de atención primaria para adultos mayores, One Medical Seniors. La noticia, que comenzó a circular tras un reporte de seguridad interno el 13 de junio de 2026, escaló de manera alarmante el 18 de junio cuando el temido grupo de ciber-extorsión ShinyHunters se adjudicó la autoría del ataque. Los atacantes aseguran tener en su poder un colosal volumen de 8.8 terabytes (TB) de información médica y personal de pacientes, y han lanzado un ultimátum definitivo: si One Medical no inicia negociaciones de rescate antes del 22 de junio de 2026, la base de datos completa será publicada en la dark web.

Este incidente no solo pone en jaque la privacidad de miles de ciudadanos de la tercera edad en los Estados Unidos, sino que también reabre el debate sobre la seguridad de las infraestructuras heredadas (“legacy systems”) tras fusiones y adquisiciones multimillonarias. Con el gigante del comercio electrónico Amazon detrás de la marca matriz, el escrutinio público, regulatorio y legal promete ser implacable en los próximos meses.

El origen del incidente: ¿Cómo se infiltraron los atacantes?

De acuerdo con los comunicados oficiales emitidos por One Medical, la intrusión no se produjo en sus servidores principales ni en los sistemas de Amazon, sino a través de una plataforma de almacenamiento de archivos de un tercero. Este entorno externo era utilizado para alojar información histórica y archivada de Iora Health, una empresa de atención médica enfocada en pacientes de Medicare que One Medical adquirió en 2021 por 2,100 millones de dólares, y que posteriormente fue renombrada en 2023 como One Medical Seniors.

El equipo de seguridad de One Medical detectó el acceso no autorizado el 13 de junio de 2026. Tras iniciar una investigación forense profunda de la mano de firmas externas de ciberseguridad, se determinó que la ventana de exposición ocurrió entre el 8 y el 11 de junio de 2026. Durante estos tres días, los atacantes lograron evadir los controles del proveedor de almacenamiento externo y acceder a los archivos históricos del sistema.

La compañía ha sido enfática en aclarar que el incidente se limitó de manera estricta a este entorno de almacenamiento archivado. Según las auditorías iniciales de One Medical:

• Los sistemas centrales de bases de datos de One Medical no se vieron comprometidos.
• Las plataformas tecnológicas globales de Amazon permanecieron completamente aisladas de la intrusión.
• El sistema principal de Registros Médicos Electrónicos (EMR, por sus siglas en inglés) que se utiliza en el día a día de las clínicas operativas no sufrió ninguna alteración ni acceso no autorizado.

A pesar de estas declaraciones de contención, la naturaleza de la información comprometida sigue siendo extremadamente delicada y de alto valor en los mercados negros de la tecnología.

La anatomía de una brecha de datos: El rol del historial clínico de Iora Health

La mayor preocupación de los analistas radica en el perfil de las víctimas afectadas por esta brecha de datos. Al tratarse de registros pertenecientes a One Medical Seniors y a la antigua Iora Health, la inmensa mayoría de las personas expuestas son adultos mayores de 65 años que dependen de programas de cobertura federal como Medicare. Los datos comprometidos pertenecen a clínicas específicas ubicadas en nodos urbanos clave de los Estados Unidos, incluyendo:

• Atlanta
• Cape Cod
• Charlotte
• Piedmont Triad
• Denver
• Houston
• Phoenix
• Tucson
• Seattle

Los archivos filtrados contienen una mezcla altamente peligrosa de Información de Identificación Personal (PII) y de Información Médica Protegida (PHI). Entre los datos expuestos que los bufetes de abogados y expertos ya investigan se encuentran:

1. Datos Demográficos Básicos: Nombres completos, fechas de nacimiento, direcciones postales y números de contacto telefónico.
2. Información de Seguros de Salud: Números de póliza, detalles de cobertura de Medicare e historial de facturación médica.
3. Historiales Clínicos: Diagnósticos médicos, tratamientos recibidos, listas de medicamentos recetados y notas de evolución de médicos de cabecera.

La combinación de PII con información clínica detallada es considerada por los expertos en ciberseguridad como el “santo grial” para los estafadores. Con este nivel de detalle, un atacante no solo puede suplantar la identidad de un paciente para cometer fraudes de seguros, sino también diseñar campañas de ingeniería social extremadamente convincentes (“vishing” o “spear-phishing”) dirigidas a una población vulnerable que suele confiar con facilidad en llamadas que simulan provenir de sus proveedores de salud habituales.

ShinyHunters y el ultimátum del 22 de junio

La atribución del ataque al sindicato criminal ShinyHunters añade un nivel de urgencia sin precedentes al caso. El 18 de junio de 2026, la banda publicó en su sitio de filtraciones de la red Tor (dark web) un mensaje explícito donde aseguraban poseer 8.8TB de datos extraídos de la infraestructura archivada de One Medical. Su mensaje fue directo y amenazante:

“Hemos comprometido más de 8.8TB de datos. Esta es una advertencia final para que se pongan en contacto antes del 22 de junio de 2026, de lo contrario filtraremos todo junto con varios problemas digitales molestos que llegarán a su puerta. Tomen la decisión correcta, no sean el próximo titular de las noticias.”

Aunque One Medical y su matriz Amazon no han validado de forma oficial la cifra de 8.8TB ni han confirmado si pagarán el rescate, los antecedentes de ShinyHunters obligan a tomar la amenaza con absoluta seriedad. Este grupo no es un actor improvisado en el panorama del cibercrimen global. Su historial delictivo incluye golpes masivos a corporaciones transnacionales que han redefinido los estándares de la seguridad en la nube.

En años anteriores, ShinyHunters estuvo detrás de la histórica campaña contra clientes de la plataforma Snowflake, que derivó en la filtración de datos de 560 millones de usuarios de Ticketmaster y más de 50 millones de registros de llamadas de AT&T. Asimismo, en el primer semestre de 2026, el grupo ha mantenido un ritmo de ataque frenético, atribuyéndose la filtración de 26 millones de registros de Madison Square Garden Entertainment (MSG), la brecha masiva en el sistema de gestión de aprendizaje de Instructure (Canvas), y una campaña global de explotación activa de una vulnerabilidad crítica de ejecución remota de código en Oracle PeopleSoft (CVE-2026-35273) que afectó a más de un centenar de organizaciones.

La táctica predilecta de ShinyHunters consiste en el “pago o filtración” (pay-or-leak). A diferencia de los grupos tradicionales que encriptan sistemas mediante ransomware clásico, este grupo suele enfocarse puramente en la exfiltración silenciosa de datos. Una vez que poseen la información, extorsionan a la víctima bajo la amenaza de la destrucción de su reputación pública y las inminentes multas por violación a leyes de privacidad como HIPAA (Health Insurance Portability and Accountability Act).

La deuda técnica de las adquisiciones: El “bajo vientre” de las corporaciones

Este incidente ilustra a la perfección una de las vulnerabilidades más críticas y desatendidas en el ámbito corporativo moderno: la deuda técnica acumulada durante procesos de fusiones y adquisiciones (M&A). Cuando una gran corporación como Amazon adquiere un competidor, no solo compra su cuota de mercado o su talento humano, también hereda toda su infraestructura tecnológica histórica.

La integración de sistemas de TI es un proceso lento, costoso y sumamente complejo. Con frecuencia, las empresas matrices priorizan la migración rápida de los sistemas de cara al cliente y de facturación activa, dejando en un segundo plano los servidores de archivo, las copias de seguridad antiguas y los repositorios gestionados por proveedores de almacenamiento externos contratados por la empresa adquirida años atrás. Es en este “bajo vientre” donde los grupos de ciberdelincuentes concentran sus esfuerzos de reconocimiento.

En el caso de One Medical Seniors, el talón de Aquiles fue un repositorio archivado de Iora Health. Para los atacantes, un servidor de legado que carece de monitoreo constante de actividad, que puede no estar integrado en el sistema de inicio de sesión único (SSO) de la matriz y que quizás carece de autenticación de múltiples factores (MFA), representa una puerta de entrada directa y de bajo riesgo. Los modernos perímetros defensivos de Amazon de nada sirven si una vieja base de datos de una filial adquirida hace un lustro sigue expuesta en un rincón olvidado de la red de un proveedor de servicios en la nube de nivel secundario.

Repercusiones legales y el camino hacia la mitigación

El impacto reputacional y legal para Amazon y One Medical ya ha comenzado a materializarse. Varias de las firmas de abogados más prominentes de los Estados Unidos en el ámbito de las demandas colectivas, como Shamis & Gentile P.A. y Levi & Korsinsky LLP, han anunciado formalmente el inicio de investigaciones para estructurar demandas contra la compañía por no proteger adecuadamente la información médica sensible de sus pacientes.

La legislación estadounidense impone sanciones severas a las entidades que sufran fugas de PHI bajo la normativa HIPAA. De comprobarse negligencia en la supervisión de los proveedores de almacenamiento externos o en la custodia de datos heredados, las multas financieras podrían ascender a millones de dólares, sumándose a los costos de la investigación forense, la remediación tecnológica y la provisión obligatoria de servicios de monitoreo de crédito gratuito para los miles de pacientes afectados.

Para mitigar futuros riesgos de esta índole, los expertos en ciberseguridad corporativa sugieren que las organizaciones adopten de manera estricta las siguientes directrices operativas:

• Auditoría exhaustiva de activos M&A: Implementar un inventario inmediato y riguroso de todos los repositorios de datos y plataformas de software de cualquier empresa adquirida, sin importar qué tan antiguos o inactivos parezcan.
• Aplicación de “Zero Trust” a terceros: Restringir de forma predeterminada los accesos de proveedores y sistemas externos, exigiendo esquemas de autenticación robustos (como MFA resistente a phishing) para acceder incluso a repositorios históricos.
• Monitoreo continuo de la Dark Web: Emplear plataformas avanzadas de inteligencia de amenazas para identificar credenciales corporativas filtradas o bases de datos expuestas antes de que los atacantes inicien sus campañas de extorsión.
• Políticas estrictas de retención de datos: Depurar de forma segura la información que ya no sea legal o clínicamente necesaria para reducir de manera sistemática la superficie de ataque disponible para los cibercriminales.

El desenlace de esta crisis con ShinyHunters marcará un antes y un después en cómo las gigantes tecnológicas gestionan la seguridad de los datos de salud de las empresas que absorben. Con la fecha límite del 22 de junio de 2026 tocando a la puerta, el mundo de la ciberseguridad observa con atención el próximo movimiento de Amazon y One Medical en esta millonaria partida de ajedrez digital.