Unlimited Technology Systems notifica una brecha que afecta a 3,8 millones de personas

7 de agosto de 2026. Unlimited Technology Systems ha comenzado a notificar a más de 3,8 millones de personas que su información personal fue sustraída durante una brecha de datos. La compañía, con sede en Montgomery (Ohio), proporciona tecnología financiera y de ciclo de ingresos a proveedores y organizaciones sanitarias.

Unlimited Technology Systems afirma trabajar con más de 4.500 consultas de oncología y más de 6.500 proveedores especializados. Según la información comunicada a las personas afectadas, el incidente se detectó en octubre de 2025 y estuvo relacionado con uno de sus centros de datos comerciales.

La investigación de la empresa determinó que los atacantes robaron determinados datos de sus sistemas entre el 5 y el 10 de octubre de 2025. La información comprometida incluye nombres, direcciones postales, números de teléfono, direcciones de correo electrónico y números de la Seguridad Social.

El conjunto expuesto también contenía números de historiales médicos, diagnósticos, fechas de prestación de servicios, números de pólizas de seguros y datos sobre reclamaciones y prestaciones. Asimismo, los atacantes accedieron a documentos escaneados, entre ellos permisos de conducir y documentos de identificación emitidos por organismos públicos.

La compañía precisó que los datos afectados no incluyen historiales médicos completos, imágenes médicas ni información financiera como números de tarjetas de crédito o cuentas bancarias. Unlimited Technology Systems tampoco tiene constancia de intentos de uso indebido ni de un uso efectivo de la información comprometida.

A finales de julio, la empresa notificó al US Department of Health and Human Services (HHS) que el incidente había afectado a 3.803.750 personas. El HHS incorporó posteriormente a Unlimited Technology Systems a su portal de brechas el 6 de agosto.

Como medida de apoyo, Unlimited Technology Systems ofrece a las personas afectadas dos años de monitorización de crédito, asesoramiento frente al fraude y servicios de restauración de identidad en caso de robo de identidad. La notificación remitida a los afectados fue presentada ante la Iowa Attorney General’s Office.

La empresa no ha identificado al actor responsable del ataque. Tampoco se han observado reclamaciones públicas de grupos conocidos de extorsión o ransomware relacionadas con este incidente. La información disponible no atribuye la intrusión a una familia de malware, grupo criminal o campaña concreta.

El alcance comunicado sitúa el incidente entre las brechas de mayor impacto notificadas por una compañía vinculada a servicios tecnológicos para el sector sanitario. La combinación de identificadores personales, información clínica y datos de seguros incrementa la sensibilidad de los registros afectados, aunque la empresa ha descartado la exposición de historiales médicos completos y datos bancarios o de tarjetas.

Fuente: SecurityWeek.