Un actor de amenazas identificado como ByteToBreach reclama haber exfiltrado más de 80 millones de registros de pacientes de Ampath Laboratories, uno de los principales proveedores de servicios de patología de Sudáfrica. La empresa no ha emitido confirmación pública del incidente al momento de esta publicación.
El ataque fue reportado el 13 de octubre de 2026. ByteToBreach asumió la responsabilidad del incidente y afirmó haber obtenido datos de pacientes a gran escala desde los sistemas de Ampath. Este mismo actor ha sido vinculado, según se informó, a ataques previos contra organizaciones de alto perfil en el continente africano, incluyendo objetivos en Nigeria. El alcance exacto de los datos comprometidos —tipos de registros, campos incluidos, período temporal— no había sido verificado de forma independiente al cierre de esta nota.
Datos confirmados y versiones sin verificar sobre el incidente
- Actor reclamante: ByteToBreach, con antecedentes reportados en ataques a entidades en Nigeria y otros países africanos.
- Volumen reclamado: más de 80 millones de registros de pacientes.
- Organización afectada: Ampath Laboratories, uno de los mayores proveedores de patología de Sudáfrica.
- Fecha del reporte público: 13 de octubre de 2026.
- Confirmación de Ampath: no registrada al momento de publicación.
Qué se sabe y qué falta confirmar sobre los registros expuestos
Lo confirmado es que ByteToBreach realizó el reclamo público. Lo que permanece sin verificación independiente incluye: si la exfiltración efectivamente ocurrió, si los 80 millones de registros corresponden a individuos únicos o incluyen duplicados, qué categorías de datos clínicos o personales están involucradas, y si Ampath ya notificó a la autoridad regulatoria competente. Sudáfrica cuenta con el Protection of Personal Information Act (POPIA), vigente desde 2021, que obliga a los responsables de tratamiento a notificar brechas al Information Regulator y a los titulares afectados “tan pronto como sea razonablemente posible”. Si la exfiltración se confirma, la magnitud del volumen reclamado —equivalente a 1,3 veces la población total del país— convertiría este incidente en uno de los mayores registrados en el continente africano y pondría a Ampath bajo escrutinio inmediato del regulador sudafricano.
El caso tiene resonancia directa para América Latina, donde legislaciones como la Lei Geral de Proteção de Dados (LGPD) de Brasil, la Ley 25.326 de Argentina y la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) de México imponen obligaciones de notificación ante brechas que involucran datos sensibles —categoría que incluye explícitamente los datos de salud en los tres marcos normativos. Proveedores de servicios médicos y laboratorios clínicos de la región operan con volúmenes de registros de pacientes comparables al caso Ampath y, en muchos casos, con controles de seguridad sin auditoría formal.
El próximo hito crítico es la respuesta formal de Ampath al Information Regulator sudafricano: bajo POPIA, el reloj de notificación ya corre desde el momento en que la organización tomó o debió haber tomado conocimiento del incidente.
