Quest Diagnostics: brecha en Quanum LSM con datos de pacientes

Quest Diagnostics, uno de los mayores grupos estadounidenses de análisis clínicos, ha comunicado un acceso no autorizado a Quanum Lab Services Manager (Quanum LSM), el portal con el que parte de sus clientes solicita pruebas y consulta resultados. La empresa cree que se accedió a algunos registros de pacientes, pero aún no ha dicho cuántos ni de qué tipo. La noticia la publican de forma coincidente SecurityWeek (con un texto de Associated Press), BleepingComputer, The Record y TechCrunch.

Qué ha pasado

Según la comunicación presentada ante la SEC (formulario 8-K), Quest descubrió el acceso el 21 de octubre de 2026 y activó su protocolo de respuesta a incidentes para contener la actividad, investigar la naturaleza y el alcance del suceso y aplicar medidas correctivas. Participan expertos externos en ciberseguridad y se ha informado a las fuerzas del orden federales.

Las medidas operativas, descritas en el aviso que Quest publicó en su web y recogidas por los medios:

• Quanum LSM se ha detenido; se pide a los clientes que usen solicitudes en papel o, según BleepingComputer, Quanum eLabs para pedir pruebas y recibir resultados. The Record recoge el compromiso de la empresa de volver a poner en marcha el sistema antes del viernes 23 de octubre;
• otros sistemas se suspendieron por precaución: BleepingComputer cita Essential Insights y LabHQ;
• según la empresa, los servicios de cara al cliente no sufrieron interrupciones y quienes usan interfaces directas LIS o integraciones con la historia clínica electrónica (EMR) no se vieron afectados.

Quest también precisó, a Associated Press y en su aviso, que el incidente no está relacionado con las recientes vulnerabilidades de PHP que en estos días ocupan a muchos equipos de seguridad.

El sistema afectado

Quanum LSM es la plataforma en línea que médicos, personal hospitalario y consultas usan para gestionar los servicios de laboratorio: pedir pruebas, seguir su estado, consultar resultados y pedir material. TechCrunch añade que el portal gestiona también la facturación y guarda datos sanitarios y diagnósticos de los pacientes junto con los datos de facturación correspondientes, y que, según los materiales de Quest, lo usan cerca de medio millón de clínicos en Norteamérica. Quest afirma atender cada año a uno de cada tres adultos estadounidenses.

Es un punto importante: un portal de este tipo concentra en un único servicio web, accesible para miles de usuarios externos, datos sanitarios de pacientes de muchísimos centros distintos.

Lo que aún no se sabe

Las fuentes coinciden en varios puntos abiertos:

• vector de acceso: no se ha comunicado. Un portavoz rehusó comentar la naturaleza del incidente (The Record); no se sabe si se trata de credenciales robadas, de una vulnerabilidad de la aplicación o de otra cosa. Por eso no es posible asociar técnicas concretas de MITRE ATT&CK;
• inicio de la actividad: Quest no ha dicho desde cuándo estaba presente el atacante (TechCrunch);
• datos afectados: el aviso habla de «información personal y registros de pacientes», pero los tipos de datos y el número de personas aún están por determinar;
• reivindicación: en la fecha de los artículos ningún grupo había reivindicado el ataque (BleepingComputer, The Record), y Quest no ha dicho si ha recibido peticiones de rescate.

TechCrunch señala además que la página del aviso contiene el código noindex, que la excluye de los buscadores.

No es el primer episodio para Quest: en 2019 los datos de unos 11,9 millones de pacientes se vieron afectados por la brecha del proveedor de gestión de cobros American Medical Collection Agency; SecurityWeek recuerda también un caso de 2016 con unas 34.000 personas afectadas.

Por qué importa también en Europa

Quest opera en Norteamérica y las fuentes no indican consecuencias directas para pacientes europeos. Sin embargo, el esquema es habitual también aquí: laboratorios, centros de diagnóstico y plataformas de informes exponen portales web para médicos, centros concertados y pacientes, a menudo gestionados por terceros.

Para los centros sanitarios y laboratorios incluidos en el ámbito de la NIS2, un incidente así exige una alerta temprana en 24 horas y la notificación en 72 horas; al tratarse de datos relativos a la salud, se aplica también la obligación del RGPD de notificar a la autoridad de control en 72 horas. El caso Quest muestra dos elementos que marcan la diferencia: la separación entre el portal afectado y las integraciones directas (LIS y EMR), que quedaron fuera del incidente, y la existencia de procedimientos alternativos (solicitudes en papel, un segundo canal) que permitieron detener el sistema sin parar el servicio.

Qué hacer ya

Si tu organización usa portales externos de laboratorio o de informes:

• comprueba qué cuentas de la empresa están activas en los portales de los proveedores, cierra las que ya no hagan falta y exige la autenticación multifactor;
• pide al proveedor los registros de acceso de tus cuentas y busca consultas masivas de resultados, accesos desde países u horarios inusuales, exportaciones anómalas;
• prepara un procedimiento alternativo documentado para pedir pruebas y recibir resultados si el portal se apaga.

Si gestionas un portal con datos sanitarios:

• vigila los patrones de acceso: un mismo usuario que consulta muchos pacientes en poco tiempo, sesiones desde direcciones nuevas, accesos fuera del horario laboral;
• mantén el portal segmentado respecto a los sistemas internos y las integraciones directas, y prevé la posibilidad de suspender los sistemas conectados, como hizo Quest;
• comprueba si credenciales de usuarios del portal aparecen en brechas conocidas y fuerza el cambio de contraseña cuando ocurra;
• aplica las actualizaciones de los componentes expuestos y revisa periódicamente la superficie de ataque externa.

Cómo puede ayudar ARXDOME

ARX Sentry recoge registros y eventos de servidores y cortafuegos y los agrupa por familias, entre ellas ráfagas de intentos de acceso, accesos fallidos y accesos nocturnos, útiles para detectar un uso anómalo de las cuentas. ARX Expose muestra la superficie de ataque externa, las vulnerabilidades conocidas en los servicios públicos y las cuentas de la empresa implicadas en brechas. ARX Horizon enriquece cada evento con país, operador y listas de amenazas, para distinguir antes un acceso legítimo de uno sospechoso.

Última actualización: 23 de octubre de 2026