Nutex Health está investigando un incidente de ciberseguridad tras el acceso de un tercero no autorizado a sus sistemas y la extracción de información almacenada en los servidores de la empresa.
El proveedor sanitario reveló el incidente en una presentación ante la Comisión de Bolsa y Valores de EE. UU. (SEC). Según los hallazgos preliminares de su investigación, parte de la información obtenida durante la intrusión puede ser privada o confidencial.
La empresa aún no ha establecido exactamente qué información fue comprometida. Los investigadores están examinando si el material robado incluye datos de pacientes o empleados, información perteneciente a proveedores sanitarios acreditados, registros financieros y empresariales confidenciales, propiedad intelectual u otra información sensible.
Nutex tampoco ha revelado cómo los atacantes accedieron a su entorno ni cuándo comenzó la actividad no autorizada.
Tras descubrir la intrusión, la empresa activó sus procedimientos de respuesta a incidentes de ciberseguridad e incorporó especialistas externos en forenses y respuesta a incidentes. Nutex también implementó medidas destinadas a contener el incidente y notificó a las fuerzas del orden.
La investigación sigue en curso mientras la empresa trabaja para determinar el alcance total del acceso no autorizado y si la información robada ha sido posteriormente revelada por los responsables.
Nutex Health opera centros sanitarios en todo Estados Unidos. Según la empresa, su red incluye 28 centros en 12 estados, entre ellos Bayou City ER & Hospital en Texas y Green Bay ER & Hospital en Wisconsin. Nutex Health
A pesar de confirmar que la información fue exfiltrada, Nutex dijo que, a fecha de 24 de agosto, no había identificado ningún impacto material en sus operaciones ni en sus sistemas de informes financieros.
Basándose en la información disponible actualmente, la empresa también afirmó que no espera que el incidente de ciberseguridad afecte materialmente su estrategia empresarial, operaciones, situación financiera o resultados financieros. Esa evaluación podría cambiar a medida que la investigación produzca hallazgos adicionales.
Ningún grupo de ransomware o extorsión de datos ha sido identificado públicamente como responsable de la intrusión. La divulgación de Nutex ante la SEC tampoco atribuie el incidente a un actor amenazante concreto ni indica si la empresa recibió una demanda de extorsión.
Por ahora, varios detalles importantes siguen sin resolver, incluyendo las categorías precisas de datos robados, el número de individuos u organizaciones potencialmente afectados y el método que usaron los atacantes para comprometer los sistemas de la empresa.