iRhythm, fabricante estadounidense de dispositivos cardíacos portátiles, confirmó una brecha de seguridad que comprometió información de 8,2 millones de pacientes, incluyendo datos de cobertura médica y otra información sensible de salud, según se informó el 29 de octubre de 2025.
La empresa, conocida por su parche de monitoreo cardíaco Zio, notificó el incidente luego de detectar acceso no autorizado a sistemas que contenían registros de pacientes. Entre los datos expuestos se encuentran información de seguros médicos, según se informó, lo que eleva significativamente el riesgo de fraude y suplantación de identidad para los afectados. La magnitud del incidente —8,2 millones de registros— lo posiciona como uno de los mayores compromisos de datos en el sector de salud digital reportados en 2025.
Datos confirmados del incidente en iRhythm
- Registros afectados: 8,2 millones de pacientes
- Tipo de datos expuestos: información de seguros médicos, según se informó
- Empresa involucrada: iRhythm Sciences, fabricante del dispositivo Zio Patch
- Fecha de divulgación pública: 29 de octubre de 2025
- Sector: dispositivos médicos conectados / salud digital
Qué se sabe y qué falta confirmar sobre el acceso no autorizado
Según se informó, la brecha involucró acceso no autorizado a sistemas internos de iRhythm, aunque al momento de la divulgación no se habían confirmado públicamente el vector de ataque ni si los datos fueron exfiltrados o simplemente accedidos. Tampoco se informó si existe evidencia de uso malicioso de la información. Lo que sí está confirmado es la naturaleza sensible del conjunto de datos: información de cobertura médica combinada con datos de salud de pacientes cardíacos constituye un blanco de alto valor para esquemas de fraude médico. La empresa no ha detallado públicamente el período durante el cual los sistemas estuvieron comprometidos ni si se notificó a las autoridades regulatorias federales en los plazos exigidos por la normativa HIPAA, que establece 60 días desde el descubrimiento para notificar al Departamento de Salud y Servicios Humanos de Estados Unidos cuando el incidente afecta a más de 500 personas.
Para los pacientes en América Latina que utilizan dispositivos iRhythm —comercializados en algunos mercados de la región—, la exposición de datos de seguros médicos activa obligaciones distintas según cada jurisdicción. En Brasil, una brecha de esta naturaleza que afecte a titulares brasileños activaría las obligaciones de notificación de la ANPD bajo la Lei Geral de Proteção de Dados (LGPD), que en su artículo 48 exige comunicación a la autoridad y a los titulares afectados en “prazo razoável”, interpretado por la ANPD como no superior a dos días hábiles para el aviso inicial. En México, la LFPDPPP obliga a los responsables a implementar medidas correctivas inmediatas ante vulneraciones de seguridad. En Argentina, la Ley 25.326 y las disposiciones de la AAIP establecen deberes similares de resguardo y notificación.
El próximo hito crítico es la ventana de notificación HIPAA de 60 días desde el descubrimiento: si iRhythm no había reportado formalmente al HHS antes del 29 de octubre, ese plazo determina cuándo el caso ingresará al registro público de brechas de la Oficina de Derechos Civiles.
