Los hackers afirman haber robado millones de registros médicos y personales de M-Tiba, una billetera digital de salud respaldada por Safaricom, en lo que podría ser una de las mayores filtraciones de datos de la historia de Kenia.
Un grupo autodenominado Kazu afirma haber accedido a más de 17 millones de archivos, o aproximadamente 2.15 terabytes de datos, de los servidores de M-Tiba. El grupo compartió una muestra de 2 GB de los datos robados en su canal de Telegram (Kazu Breach), que contiene lo que parecen ser nombres de pacientes, números de identificación nacional, fechas de nacimiento, números de teléfono y, en algunos casos, diagnósticos médicos e información de facturación.
Los archivos filtrados incluyen información sobre unos 114,000 usuarios, tanto titulares de cuentas como beneficiarios, según documentos examinados por TechCabal. Kazu afirma que hasta 4.8 millones de personas podrían verse afectadas, una cifra que no ha sido verificada de forma independiente.
M-Tiba, operado por CarePay, una empresa de tecnología sanitaria con sede en Nairobi, no confirmó ni negó la filtración. La empresa solicitó a TechCabal que compartiera copias de los archivos filtrados para facilitar su análisis.
«En M-TIBA, nos tomamos muy en serio la seguridad de los datos. Como parte de nuestro protocolo estándar, nos gustaría investigar activamente las reclamaciones a las que se refiere», declaró un representante de CarePay en un correo electrónico. «Para facilitar nuestra investigación interna, ¿podría compartir los enlaces o publicaciones que han motivado su consulta?».
Un funcionario de la Oficina del Comisionado de Protección de Datos (ODPC) dijo que la agencia estaba al tanto del incidente, pero se negó a dar más detalles, alegando que no estaban autorizados a comentar sobre un asunto en curso.
La muestra de datos robados también contiene registros de aproximadamente 700 centros de salud. Algunos escaneos muestran facturas completas y resúmenes de diagnóstico de pacientes, incluyendo los nombres de médicos y compañías de seguros. En un conjunto de documentos, se incluían identificadores de pacientes, datos de contacto y costos de tratamiento junto con notas manuscritas del personal médico.
De confirmarse, la filtración de M-Tiba supondría una de las exposiciones de datos médicos más graves desde que la Ley de Protección de Datos de Kenia entró en vigor en 2019. La ley clasifica los historiales clínicos como información personal sensible, lo que exige estrictas medidas de seguridad.
Fuente de la imagen: Kazu
Amenazas crecientes
En los últimos años, Kenia ha sido testigo de una serie de infracciones que involucran a empresas privadas y plataformas públicas, incluyendo la Hackeo de 2023 en la plataforma e-CitizenDesde los sistemas educativos y tributarios hasta los hospitales y las aplicaciones fintech, la transformación digital del país a menudo ha superado su capacidad de ciberseguridad.
Los ciberataques han ido en aumento de forma constante en Kenia a medida que más servicios públicos y privados se trasladan a internet. La Autoridad de Comunicaciones (CA) Registraron más de 4.6 millones entre abril y junio de 2025, un aumento del 80 % en comparación con el trimestre anterior. La mayoría de los incidentes involucraron phishing, ransomware y filtraciones de datos dirigidas a bancos, empresas de telecomunicaciones y sistemas gubernamentales.
M-Tiba ha sido uno de los casos de éxito digital de Kenia. Lanzada en 2016 mediante una alianza entre CarePay, Safaricom y la Fundación PharmAccess, la plataforma permite a los usuarios ahorrar y gastar dinero específicamente para la atención médica. También se utiliza para distribuir beneficios de seguros y subsidios gubernamentales para la salud.
En 2024, M-Tiba Afirma tener más de 4 millones de usuarios y alianzas con más de 3,000. hospitales. Su modelo —en parte monedero móvil, en parte centro de compensación de seguros médicos— ha sido elogiado como una vía práctica hacia la cobertura sanitaria universal.
Esa magnitud también la convierte en un objetivo atractivo. Si la brecha de seguridad es tan grande como se afirma, podría exponer a pacientes individuales y los datos internos de clínicas, aseguradoras y profesionales médicos.
