Empresa de tecnología sanitaria confirma acceso no autorizado prolongado
CareCloud, una empresa que ofrece servicios de historiales clínicos electrónicos a proveedores de atención médica, ha comenzado a notificar formalmente a cientos de miles de pacientes que sus datos médicos fueron robados en una violación ocurrida a principios de este año. Según la compañía, los piratas informáticos tuvieron acceso a uno de sus almacenes de datos de historiales clínicos electrónicos durante al menos seis días, entre el 10 y el 16 de marzo, antes de que se detectara y contuviera la intrusión.
La notificación llega meses después del incidente en sí, un lapso habitual en las violaciones de datos de salud, ya que las empresas suelen necesitar tiempo para investigar el alcance del acceso no autorizado, colaborar con investigadores forenses y preparar las notificaciones legales antes de contactar a los afectados. Sin embargo, para los pacientes, esa demora significa que su información personal de salud pudo haber estado circulando o en riesgo durante un período prolongado antes de que se les informara.
Un giro inusual: un pirata informático que compartió pruebas
Lo que diferencia este incidente de muchas otras violaciones de datos de salud es la forma en que el atacante se dirigió a CareCloud. La empresa afirmó que un pirata informático se atribuyó la intrusión y, notablemente, compartió muestras de los datos robados directamente con la compañía, junto con una exigencia de rescate para evitar que la información se publicara en línea. Compartir muestras de datos como táctica de presión no es lo habitual en actores de ransomware o extorsión, quienes con mayor frecuencia amenazan con publicar archivos robados sin ofrecer pruebas por adelantado. Ese detalle sugiere que el atacante quería establecer credibilidad rápidamente, probablemente para presionar a CareCloud a pagar en lugar de arriesgarse a una negociación prolongada.
A pesar de esto, ningún grupo de ransomware establecido ni banda de extorsión ha reivindicado públicamente la violación. Este tipo de ambigüedad no es inusual en el panorama actual de amenazas, donde actores solitarios, grupos pequeños o afiliados que operan al margen de una marca de ransomware reconocida llevan a cabo ataques cada vez con más frecuencia sin reivindicarlos en los sitios de filtración que suelen utilizar las grandes operaciones de ciberdelincuencia. La ausencia de una reivindicación con nombre no reduce necesariamente la gravedad de la exposición, simplemente dificulta la atribución y el seguimiento tanto para los investigadores como para los pacientes afectados.
Este esfuerzo de notificación se produce tras una divulgación anterior este año en la que CareCloud confirmó que piratas informáticos accedieron a registros médicos de pacientes relacionados con el mismo incidente de seguridad más amplio. El envío de notificaciones a cientos de miles de personas representa la siguiente fase de ese proceso de divulgación, mientras la empresa examina los detalles sobre exactamente qué datos de quiénes se vieron afectados y qué categorías de información quedaron expuestas.
Por qué las violaciones de datos de salud conllevan un riesgo desproporcionado
Los historiales clínicos electrónicos suelen contener una combinación de información altamente confidencial: nombres, fechas de nacimiento, números de seguridad social, datos del seguro, historiales de diagnóstico y tratamiento y, a veces, datos de facturación o financieros. A diferencia de una contraseña comprometida, este tipo de información no puede simplemente restablecerse. El robo de identidad médica, el fraude al seguro y las campañas de phishing dirigido son consecuencias realistas cuando este tipo de datos caen en las manos equivocadas, y los efectos pueden manifestarse meses o incluso años después de la violación original.
Los proveedores de tecnología sanitaria como CareCloud ocupan una posición especialmente delicada porque procesan y almacenan datos en nombre de múltiples organizaciones de proveedores, lo que significa que una sola violación en un proveedor puede repercutir en pacientes de muchas clínicas y sistemas hospitalarios diferentes que nunca interactuaron directamente con la empresa comprometida. Como se informó anteriormente, la magnitud de la exposición de CareCloud ha afectado a millones de registros de pacientes en toda su base de clientes, lo que subraya cómo se concentra el riesgo cuando una cantidad tan grande de datos de salud fluye a través de un pequeño número de proveedores tecnológicos.
Qué significa esto para usted
Si ha recibido, o recibe más adelante, una carta de notificación de CareCloud, tómela en serio incluso si el lenguaje parece rutinario. Lea la carta detenidamente para comprender exactamente qué categorías de su información estuvieron implicadas, ya que no todas las personas notificadas habrán tenido expuestos los mismos datos. Si se incluyeron números de seguridad social o identificadores de seguro, considere colocar una alerta de fraude o un congelamiento de crédito en las principales agencias de crédito. Revise detenidamente sus estados de cuenta del seguro y facturas médicas en busca de servicios que no reconozca, ya que el robo de identidad médica puede ser más difícil de detectar que el fraude financiero común. Tenga cuidado con cualquier correo electrónico, llamada o mensaje de texto de seguimiento que afirme ser de CareCloud o de su proveedor de atención médica y le pida que verifique datos personales, ya que los estafadores que realizan campañas de phishing explotan con frecuencia las notificaciones de violaciones de datos.
Puntos clave
El proceso de notificación de CareCloud es un recordatorio de que las violaciones de datos de salud a menudo se desarrollan en etapas, con la intrusión inicial, la investigación y la notificación final separadas por meses. Los pacientes afectados por este incidente deben revisar detenidamente cualquier carta de notificación, inscribirse en la supervisión de crédito ofrecida si está disponible y permanecer atentos a comunicaciones sospechosas que hagan referencia a su historial médico o información del seguro. A medida que las organizaciones de salud siguen dependiendo de proveedores tecnológicos externos para gestionar registros confidenciales, incidentes como este ponen de relieve por qué la vigilancia tanto de las empresas como de los pacientes sigue siendo esencial mucho después de que se detecta una violación por primera vez.
