Ver el código de «Brecha de Datos de Aesto Health: 9.5 Millones de Pacientes Afectados por Compromiso de AWS (2025-2026)»

== Nombres Alternativos / Aliases ==

* Aesto Health Data Breach (Brecha de datos de Aesto Health)
* Aesto AWS Infrastructure Breach (Brecha de infraestructura AWS de Aesto)
* 9.54 Million Patient Records Exposure (Exposición de 9.54 millones de registros de pacientes)
* Aesto PHI Data Theft (Robo de PHI de Aesto)
* Business Associate AWS Compromise (Compromiso de AWS de socio comercial)

----

== Fecha de Detección / Actividad ==

* Período de acceso no autorizado: 2-18 de diciembre de 2025
* Fecha de detección: 18 de diciembre de 2025
* Fecha de confirmación de exfiltración: 26 de mayo de 2026
* Inicio de notificaciones a clientes: 26 de junio de 2026
* Notificación al HHS: 31 de julio de 2026
* Publicación en el portal de HHS: 31 de agosto de 2026
* Inicio de notificaciones a pacientes: 21 de agosto de 2026
* Total de afectados: 9,540,683 individuos
* Estado: Activa (investigación en curso, notificaciones en proceso)

----

== Actor de Amenaza (Atribución) ==
{| class="wikitable"
!Característica
!Detalle
|-
|Nombre del Actor
|Desconocido (no reclamado por ningún grupo de ransomware)
|-
|Vínculo Gubernamental
|No establecido
|-
|Tipo de Actor
|Ciberdelincuencia / Robo de datos
|-
|Sofisticación
|MEDIA-ALTA. El actor demuestra:
|}

* Acceso a entorno AWS durante 16 días sin ser detectado
* Extracción masiva de datos de 9.5 millones de registros
* Operación sigilosa sin cifrado de sistemas ni reclamación pública de responsabilidad |  | Motivación | Financiera (extorsión o venta de datos) |  | Estado de reclamación | Ningún grupo ha reclamado la responsabilidad

----

== Resumen Ejecutivo ==
Aesto Health, una empresa de tecnología sanitaria con sede en Birmingham, Alabama, sufrió una brecha de datos que afecta a 9,540,683 individuos . El atacante accedió a parte de su infraestructura de Amazon Web Services (AWS) entre el 2 y el 18 de diciembre de 2025, exfiltrando información de salud protegida (PHI) e información de identificación personal (PII) de pacientes de múltiples proveedores de atención médica clientes .

=== Descubrimientos clave ===
{| class="wikitable"
!Descubrimiento
!Detalle
|-
|Total de afectados
|9,540,683 personas
|}

* ☑  Período de acceso | 2-18 de diciembre de 2025 (16 días)
* ☑  Infraestructura comprometida | Entorno de Amazon Web Services (AWS)
* ☑  Datos expuestos | Nombres, SSN, fechas de nacimiento, licencias de conducir, números de cuentas financieras, información médica, información de seguros, números de identificación fiscal
* ☑  Proveedores afectados | Al menos 29 organizaciones de atención médica
* ☑  Fecha de detección | 18 de diciembre de 2025
* ☑  Fecha de confirmación | 26 de mayo de 2026 (más de 5 meses después)
* ☑  Atribución | No reclamada por ningún grupo de ransomware

=== La empresa: Aesto Health ===
Aesto Health es un socio comercial (business associate) que proporciona servicios de migración de datos, intercambio de registros médicos electrónicos (EHR) y archivado de datos heredados a proveedores de atención médica . La empresa actúa como intermediario entre los sistemas de salud y los datos de los pacientes, lo que la convierte en un objetivo atractivo para los atacantes.

=== El impacto en los proveedores ===
Al menos 29 proveedores de atención médica se vieron afectados indirectamente por la brecha :
{| class="wikitable"
!Proveedor
!Estado
!Afectados estimados
|-
|VillageMD / Village Medical
|Nacional
|25,000+
|-
|Everside Health (Marathon Health)
|Nacional
|22,000+ (solo Washington)
|-
|Together Women's Health
|Alabama
|No especificado
|-
|Marana Health
|Arizona
|No especificado
|-
|SpineZone (Livara Health)
|Nacional
|No especificado
|-
|Otros 24+ proveedores
|Múltiples estados
|No especificado
|}
<blockquote>''"At least two dozen Aesto Health healthcare provider clients across several states have been affected by the incident."''</blockquote>

=== El contexto de los socios comerciales ===
Cuando un socio comercial (business associate) como Aesto Health sufre una brecha, la entidad cubierta (el proveedor de atención médica) es, en última instancia, responsable de garantizar que se cumplan los requisitos de notificación de la Regla de Notificación de Brechas de HIPAA . Esto significa que algunos proveedores han optado por notificar a sus pacientes directamente, mientras que otros han delegado la responsabilidad en Aesto.
----

== Vector de Ataque / Métodos de Distribución ==

=== Cronología del ataque ===
{| class="wikitable"
!Fecha
!Evento
|-
|2 de diciembre de 2025
|Inicio del acceso no autorizado al entorno AWS
|}

* ☑  2-18 de diciembre de 2025 | El atacante exfiltra datos durante 16 días
* ☑  18 de diciembre de 2025 | Aesto detecta el incidente y lo contiene
* ☑  26 de mayo de 2026 | Finalización de la investigación forense; confirmación de exfiltración
* ☑  26 de junio de 2026 | Inicio de notificaciones a clientes (entidades cubiertas)
* ☑  31 de julio de 2026 | Notificación al HHS
* ☑  21 de agosto de 2026 | Inicio de notificaciones a pacientes afectados
* ☑  31 de agosto de 2026 | Publicación de la cifra final de 9.54M en el portal de HHS

=== Método de acceso ===
Según la investigación de Aesto :<blockquote>''"On or about December 18, 2025, Aesto experienced a network security incident that impacted a limited portion of our Amazon Web Services infrastructure. After an extensive forensic investigation and manual document review, on May 26, 2026, we confirmed that between on or about December 2, 2025, and December 18, 2025, certain protected health information belonging to patients of various Covered Entity clients stored within Aesto's network may have been accessed and/or acquired by an unauthorized actor."''</blockquote>

=== El vector no especificado ===
Aesto no ha revelado cómo los atacantes obtuvieron acceso a su entorno AWS. No se ha confirmado si el acceso fue a través de:

* Credenciales AWS comprometidas
* Vulnerabilidad en una aplicación o servicio
* Ataque de phishing a empleados
* Configuración incorrecta de seguridad
* Acceso a través de un proveedor externo

----

== Datos Comprometidos ==

=== Tipos de datos expuestos ===
{| class="wikitable"
!Categoría
!Datos
!Fuente
|-
|Identificación personal
|Nombres completos, fechas de nacimiento
|
|}

* ☑  Identificación gubernamental | Números de Seguro Social, números de licencia de conducir, números de identificación estatal, números de identificación fiscal |
* ☑  Información financiera | Números de cuentas financieras |
* ☑  Información médica | Historiales médicos, diagnósticos, tratamientos, información de reclamaciones/facturación |
* ☑  Información de seguros | Datos de pólizas de seguro médico |

=== Datos NO expuestos ===
Aesto ha afirmado que no hay evidencia de que los datos hayan sido utilizados para robo de identidad o fraude financiero . Sin embargo, la exposición de números de Seguro Social y datos médicos completos crea un riesgo significativo de futuros intentos de fraude.

=== Impacto por estado (parcial) ===
{| class="wikitable"
!Estado
!Afectados
!Fuente
|-
|Carolina del Sur
|80,622
|Fiscalía General del Estado
|-
|Washington
|37,253
|Fiscalía General del Estado
|-
|Oregón
|731
|Fiscalía General del Estado
|-
|Vermont
|91
|Fiscalía General del Estado
|}
----

== Impacto y Riesgo ==
{| class="wikitable"
!Categoría
!Nivel
!Descripción
|-
|Alcance
|MUY ALTO
|9.54M pacientes afectados, 29+ proveedores
|-
|Datos expuestos
|MUY SENSIBLES
|SSN, datos médicos, información financiera, IDs gubernamentales
|-
|Riesgo de robo de identidad
|MUY ALTO
|Combinación de SSN, direcciones y fechas de nacimiento
|-
|Riesgo de fraude financiero
|MUY ALTO
|Números de cuentas financieras expuestos
|-
|Tiempo de detección
|LARGO
|16 días de acceso no detectado
|-
|Tiempo de notificación
|MUY LARGO
|5+ meses desde la confirmación hasta las notificaciones
|-
|Atribución
|NO CONFIRMADA
|Ningún grupo ha reclamado la responsabilidad
|}

=== Consecuencias para los afectados ===
{| class="wikitable"
!Consecuencia
!Gravedad
!Detalle
|-
|Robo de identidad
|Crítica
|SSN, direcciones y fechas de nacimiento combinados
|-
|Fraude financiero
|Crítica
|Números de cuentas financieras expuestos
|-
|Fraude médico
|Alta
|Datos de seguros y registros médicos
|-
|Phishing dirigido
|Alta
|Uso de datos para estafas personalizadas
|-
|Compromiso de atención médica
|Alta
|Posible uso de datos médicos para fraude de seguros
|}

=== Posición de la brecha en 2026 ===
Esta brecha es la segunda mayor brecha de datos de salud confirmada en 2026, solo superada por la brecha de DentaQuest (15 millones de registros) . Es significativamente mayor que otras brechas de salud de 2026.
----

== Recomendaciones de Mitigación ==

=== Para pacientes afectados ===
{| class="wikitable"
!Acción
!Prioridad
!Descripción
|-
|Monitoreo de crédito
|CRÍTICA
|Utilizar los servicios de monitoreo de identidad ofrecidos (Experian, 24 meses)
|-
|Congelación de crédito
|ALTA
|Considerar una congelación de crédito para prevenir aperturas de cuentas no autorizadas
|-
|Monitoreo de cuentas financieras
|ALTA
|Revisar extractos bancarios y de tarjetas de crédito regularmente
|-
|Phishing
|ALTA
|Mantenerse en alerta por correos electrónicos o llamadas telefónicas que utilicen datos reales para estafas
|-
|Revisar explicaciones de beneficios (EOB)
|ALTA
|Verificar que no haya reclamaciones médicas fraudulentas
|}

=== Para proveedores de atención médica ===
{| class="wikitable"
!Acción
!Descripción
|-
|Auditar socios comerciales
|Revisar la seguridad de todos los proveedores de servicios que tienen acceso a datos de pacientes
|-
|Revisar contratos
|Asegurar que los contratos con socios comerciales incluyan cláusulas de seguridad y notificación adecuadas
|-
|Monitoreo de actividad
|Vigilar accesos inusuales a sistemas de EHR y archivos de pacientes
|-
|Notificación a pacientes
|Cumplir con los requisitos de notificación de HIPAA
|}

=== Para organizaciones con datos en la nube ===
{| class="wikitable"
!Acción
!Prioridad
!Descripción
|-
|Auditar configuraciones de AWS
|CRÍTICA
|Revisar permisos, buckets S3, y políticas de IAM
|-
|Monitoreo de actividad
|CRÍTICA
|Detectar patrones de acceso anómalos a entornos cloud
|-
|MFA obligatoria
|CRÍTICA
|Autenticación multifactor para todas las cuentas administrativas
|-
|Segmentación de datos
|ALTA
|Aislar datos sensibles en entornos con controles adicionales
|-
|Copias de seguridad
|ALTA
|Verificar que las copias de seguridad estén inmutables y aisladas
|-
|Registros inmutables
|ALTA
|Logs que los atacantes no puedan alterar
|}
----

== Contexto Más Amplio: Brechas de Salud en 2026 ==
{| class="wikitable"
!Incidente
!Afectados
!Fecha
!Tipo
|-
|DentaQuest
|15,000,000
|Julio 2026
|Hacking/IT Incident
|-
|Aesto Health
|9,540,683
|Diciembre 2025
|AWS Compromise
|-
|CareCloud
|3,756,469
|Marzo 2026
|AWS Compromise
|-
|Unlimited Technology Systems
|3,803,750
|Julio 2026
|Hacking/IT Incident
|-
|Xsolis
|1,396,519
|Junio 2026
|Hacking/IT Incident
|-
|MCBS
|1,261,464
|Junio 2026
|Hacking/IT Incident
|}
Patrón: Los atacantes están apuntando cada vez más a socios comerciales y proveedores de servicios en la nube como punto de entrada para acceder a los datos de múltiples organizaciones de atención médica.
----

== Opiniones de Expertos ==
<blockquote>''"The incident underscores the exposure health systems face through third-party vendors that store and migrate patient data, a recurring theme in 2026's data breach landscape."''

— Becker's Hospital Review</blockquote><blockquote>''"Aesto Health said the incident was discovered on December 18, 2025, after attackers gained access to part of its Amazon Web Services infrastructure."''

— SecurityWeek</blockquote><blockquote>''"Aesto Health has not disclosed how attackers gained access to the AWS environment, whether any ransom demands were made, or what specific mitigation or identity protection services, if any, it is offering to affected individuals."''

— CloudLink Technologies</blockquote>
----

== Referencias y Fuentes ==

# Security Affairs. (2026, 31 de agosto). ''Attackers Access Aesto Health AWS Infrastructure, Exposing 9.5 Million Records''.
# SecurityWeek. (2026, 31 de agosto). ''9.5 Million Impacted by Aesto Health Data Breach''.
# Becker's Hospital Review. (2026, 31 de agosto). ''Aesto Health data breach hits 9.5 million patients''.
# Federman & Sherwood. (2026, 31 de agosto). ''Livara Health Medical Group d/b/a SpineZone Data Breach – Investigated by Federman & Sherwood''.
# CloudLink Technologies. (2026, 31 de agosto). ''Aesto Health AWS Breach Exposes 9.54M Patient Records''.
# HIPAA Journal. (2026, 1 de septiembre). ''Aesto Health Data Breach Affects 9.5 Million Patients''.
# BleepingComputer. (2026, 1 de septiembre). ''Aesto Health says data breach affects over 9.5 million patients''.

----

== Historial de Revisiones ==
{| class="wikitable"
!Fecha
!Versión
!Autor
!Cambios Realizados
|-
|2026-09-02
|1.0
|Fernando Vargas Hincapié
|Creación inicial basada en análisis de Security Affairs, SecurityWeek, Becker's Hospital Review, CloudLink Technologies, Federman & Sherwood, HIPAA Journal, BleepingComputer y otros
|}
----

== Indicadores de Compromiso (IOCs) ==

=== Información del incidente ===
{| class="wikitable"
!Tipo
!Detalle
|-
|Empresa afectada
|Aesto Health (Aesto LLC)
|-
|Sector
|Tecnología sanitaria / Socio comercial HIPAA
|-
|Infraestructura afectada
|Entorno de Amazon Web Services (AWS)
|-
|Período de acceso
|2-18 de diciembre de 2025
|-
|Duración del acceso
|16 días
|-
|Total de afectados
|9,540,683
|-
|Fecha de detección
|18 de diciembre de 2025
|-
|Actividad maliciosa
|Exfiltración de datos de PHI y PII
|-
|Cifrado
|No reportado
|-
|Atribución
|No reclamada
|}

=== Datos expuestos ===
{| class="wikitable"
!Tipo de dato
!Detalle
|-
|PII
|Nombres, fechas de nacimiento, números de Seguro Social
|-
|ID gubernamentales
|Licencias de conducir, números de identificación estatal, números de identificación fiscal
|-
|Financiero
|Números de cuentas financieras
|-
|Médico
|Historiales médicos, diagnósticos, tratamientos, información de reclamaciones/facturación
|-
|Seguros
|Datos de pólizas de seguro médico
|}

=== Proveedores afectados (parcial) ===
{| class="wikitable"
!Proveedor
!Estado
|-
|VillageMD / Village Medical
|Nacional
|-
|Everside Health (Marathon Health)
|Nacional
|-
|Together Women's Health
|Alabama
|-
|Marana Health
|Arizona
|-
|SpineZone (Livara Health)
|Nacional
|-
|24+ otros proveedores
|Múltiples estados
|}

=== Comportamiento a monitorear ===
{| class="wikitable"
!Categoría
!Comportamiento
|-
|AWS
|Acceso a entornos de AWS desde ubicaciones no autorizadas
|-
|Bases de datos
|Patrones de lectura anómalos (acceso a volúmenes sin relación con flujos de trabajo normales)
|-
|Logs
|Actividad que no coincide con horarios de trabajo
|-
|Phishing
|Aumento de correos de phishing utilizando datos de salud reales
|}
----

== Etiquetas / Categorías ==
 aesto-health-data-breach aws-healthcare-breach 9.5-million-patient-records-exposed hipaa-breach-business-associate-compromise healthcare-data-breach-2026 phii-healthcare-data cloud-security-healthcare