Underc0de - La Casa de los Informáticos

Abbott Laboratories, una de las compañías líderes a nivel mundial en el sector de la salud y dispositivos médicos, se encuentra investigando dos incidentes de ciberseguridad independientes que han generado preocupación dentro de la industria tecnológica y sanitaria. Ambos casos involucran presuntos accesos no autorizados a diferentes plataformas de la empresa y están siendo atribuidos a los actores de amenazas ShinyHunters y ShadowByt3$, quienes afirman haber obtenido información corporativa y, en uno de los casos, una gran cantidad de datos personales de clientes.

Aunque Abbott ha confirmado la existencia de uno de los incidentes y mantiene abierta una investigación sobre el segundo, la compañía sostiene que, hasta el momento, ninguno de los eventos ha afectado sus operaciones comerciales, la fabricación de productos, la prestación de servicios de laboratorio ni la atención a pacientes.

ShinyHunters reclama acceso a los sistemas de Cancer Diagnostics

El primer incidente salió a la luz después de que el grupo de extorsión ShinyHunters añadiera a Abbott Laboratories a su sitio de filtraciones de datos, donde amenazó con publicar la información presuntamente robada si la empresa no iniciaba negociaciones. Inicialmente el plazo establecido vencía el 18 de julio, aunque posteriormente fue extendido hasta el 21 de julio.

Tras las consultas realizadas por diversos medios especializados, Abbott confirmó que investiga un incidente de seguridad relacionado con un acceso no autorizado a un número limitado de sistemas internos pertenecientes a su negocio de Cancer Diagnostics.

Sin embargo, la empresa aclaró que los sistemas comprometidos corresponden a infraestructura heredada de Exact Sciences, una compañía cuya tecnología opera de forma independiente respecto al resto del ecosistema tecnológico de Abbott.

En su comunicado oficial, la organización aseguró que:

• No existe impacto en la fabricación de productos.
• Las operaciones de laboratorio continúan funcionando con normalidad.
• La disponibilidad de los productos no ha sido afectada.
• La atención a pacientes permanece sin interrupciones.
• El resto de la infraestructura tecnológica de Abbott no presenta indicios de compromiso.

Además, Abbott informó que activó inmediatamente sus procedimientos de respuesta a incidentes, contrató especialistas externos en ciberseguridad y notificó el caso a las autoridades competentes.

La empresa también indicó que, según las evaluaciones preliminares, no espera que este incidente tenga un impacto financiero o comercial significativo.

Un ataque de vishing habría facilitado el acceso inicial

De acuerdo con las afirmaciones realizadas por ShinyHunters, el acceso inicial se obtuvo mediante una campaña de vishing (phishing por llamadas telefónicas) dirigida a empleados de Abbott durante mediados de junio de 2026.

El grupo asegura haber engañado a varios trabajadores para comprometer una cuenta de Microsoft Entra Single Sign-On (SSO), lo que posteriormente les permitió acceder a distintos sistemas corporativos.

Este método de ataque no resulta nuevo para ShinyHunters. Durante el último año, el grupo ha intensificado campañas de ingeniería social dirigidas específicamente contra plataformas de autenticación empresarial como:

• Microsoft Entra ID
• Okta
• Google SSO

Una vez comprometida una cuenta con privilegios suficientes, los atacantes suelen acceder a múltiples aplicaciones SaaS integradas dentro del entorno corporativo.

Entre los servicios que habitualmente buscan comprometer se encuentran:

• Microsoft 365
• SharePoint
• Salesforce
• Google Workspace
• SAP
• Slack
• Atlassian
• Adobe
• Zendesk
• Dropbox
• Databricks
• Coupa
• ServiceNow

Los datos que ShinyHunters asegura haber robado

Aunque Abbott no ha confirmado la magnitud de la información comprometida, ShinyHunters sostiene haber exfiltrado una enorme cantidad de datos empresariales y personales.

Según el grupo criminal, entre la información obtenida se encuentran:

• Documentación interna.
• Contratos corporativos.
• Información de clientes.
• Datos almacenados en Microsoft Entra.
• Archivos de SharePoint.
• Información alojada en Databricks.
• Registros de ServiceNow.
• Documentación de Coupa.

Las afirmaciones más preocupantes hacen referencia a la supuesta obtención de más de 30 millones de registros con información personal identificable (PII).

Estos registros incluirían:

• Nombres completos.
• Direcciones físicas.
• Correos electrónicos.
• Números telefónicos.
• Fechas de nacimiento.
• Más de un millón de números del Seguro Social.

Adicionalmente, el grupo asegura haber robado:

• Más de 22 millones de notas relacionadas con conversaciones entre médicos y pacientes.
• Más de 20 millones de órdenes médicas.
• Acuerdos comerciales.
• Contratos de confidencialidad (NDA).

Hasta el momento, estas afirmaciones no han sido verificadas de manera independiente, por lo que la verdadera dimensión del incidente continúa bajo investigación.

El creciente interés de ShinyHunters por el sector sanitario

Los analistas de ciberseguridad han observado que ShinyHunters ha incrementado significativamente sus ataques contra organizaciones del sector salud y empresas de tecnología médica.

Entre las organizaciones que recientemente han aparecido vinculadas a campañas del grupo se encuentran:

• Medtronic.
• OneMedical.
• AdaptHealth.
• iRhythm.
• Stryker.

Esta tendencia evidencia que las empresas del sector sanitario continúan siendo uno de los objetivos más atractivos para los grupos especializados en extorsión debido al enorme volumen de información confidencial que administran diariamente.

ShadowByt3$ afirma haber comprometido LabCentral

Mientras Abbott investigaba el incidente relacionado con ShinyHunters, surgió una segunda reclamación por parte del actor conocido como ShadowByt3$.

En este caso, el supuesto ataque estaría dirigido contra LabCentral, un portal utilizado por clientes del negocio de diagnóstico Core Laboratory de Abbott.

Según el actor de amenazas, el acceso fue conseguido utilizando credenciales previamente comprometidas y aprovechando lo que describieron como un punto débil dentro del entorno tecnológico.

El grupo asegura haber obtenido acceso el 4 de julio de 2026, iniciando posteriormente una extracción gradual de archivos mediante el uso de diversos endpoints de la API del portal.

Documentación técnica y propiedad intelectual

ShadowByt3$ afirma haber obtenido principalmente documentación técnica relacionada con los sistemas de diagnóstico desarrollados por Abbott.

Entre los archivos presuntamente extraídos se encuentran:

• Certificados CE de fabricación.
• Manuales de operación.
• Especificaciones técnicas.
• Documentación regulatoria.
• Requisitos de productos.
• Archivos de calibración.
• Documentación de ensayos.
• Información técnica relacionada con equipos de laboratorio.

El grupo sostiene que no obtuvo información de clientes, aunque asegura haber accedido a documentación empresarial considerada propiedad intelectual.

Como respaldo de sus afirmaciones, proporcionó capturas de pantalla y listados de archivos presuntamente obtenidos durante la intrusión.

Abbott minimiza el impacto del incidente de LabCentral

Abbott confirmó conocer la existencia del posible incidente relacionado con LabCentral, aunque rechazó la descripción realizada por ShadowByt3$.

Según la compañía, el portal es administrado por un proveedor externo y únicamente almacena documentación pública destinada al soporte técnico de clientes.

La empresa explicó que el contenido disponible incluye:

• Manuales de operación.
• Guías de solución de problemas.
• Especificaciones de productos.
• Documentación técnica pública.

Abbott aseguró que este entorno no contiene información confidencial de clientes, datos empresariales sensibles ni propiedad intelectual crítica, contradiciendo así las afirmaciones realizadas por el atacante.

Un recordatorio sobre el riesgo de la ingeniería social

Los dos incidentes ponen nuevamente de manifiesto cómo las campañas de ingeniería social continúan siendo uno de los principales vectores de ataque contra grandes organizaciones. Incluso compañías con elevados niveles de inversión en ciberseguridad pueden verse expuestas cuando los ciberdelincuentes logran comprometer credenciales mediante técnicas como el vishing o el phishing dirigido.

La protección de identidades digitales mediante autenticación multifactor resistente al phishing, monitoreo continuo de accesos, segmentación de privilegios, capacitación constante de los empleados y herramientas avanzadas de detección de amenazas son elementos esenciales para reducir el riesgo de este tipo de intrusiones.

Por el momento, ni ShinyHunters ni ShadowByt3$ han publicado públicamente la información que aseguran haber robado. Abbott mantiene abiertas ambas investigaciones y continúa colaborando con expertos en ciberseguridad y las autoridades para determinar el alcance real de los incidentes, verificar las afirmaciones realizadas por los actores de amenazas y reforzar las medidas de protección de su infraestructura tecnológica.

Fuente: https://www.bleepingcomputer.com/