El gigante de la telemedicina Hims sufre una filtración de datos que expone registros médicos

La empresa de telemedicina Hims & Hers Health ha confirmado una filtración de datos que expuso algunas de las categorías más sensibles de información personal que una empresa puede manejar: Información de Salud Protegida (PHI, por sus siglas en inglés). La filtración ocurrió después de que actores maliciosos obtuvieran acceso no autorizado a una plataforma de atención al cliente de terceros utilizada por la compañía. Los datos expuestos incluyeron información contenida en tickets de soporte al cliente, lo que en un contexto de telemedicina significa detalles vinculados a recetas médicas, consultas médicas y condiciones de salud personales.

El grupo de hackers ShinyHunters ha reivindicado la responsabilidad del ataque. El grupo es bien conocido en los círculos de ciberseguridad por sus operaciones de robo de datos a gran escala y ha sido vinculado a varias filtraciones de alto perfil en los últimos años. Su participación genera preocupaciones inmediatas sobre qué ocurrirá con los datos robados, incluyendo el potencial para la extorsión, la reventa en mercados de la dark web o campañas de phishing dirigidas contra los usuarios afectados.

Por qué los proveedores externos son el eslabón débil en la seguridad sanitaria

Uno de los detalles más importantes de esta filtración es el lugar donde ocurrió: no dentro de la infraestructura central de Hims, sino a través de una plataforma de atención al cliente de terceros. Este es un patrón que se ha vuelto cada vez más común y cada vez más significativo en sus consecuencias.

Las grandes empresas subcontratan de manera rutinaria funciones como atención al cliente, facturación y almacenamiento de datos a proveedores especializados. Cada uno de esos proveedores se convierte en una extensión de la superficie de ataque de la empresa. Cuando un usuario se registra en un servicio de telemedicina, no solo está confiando sus datos a esa empresa. También está confiando en cada proveedor, contratista y proveedor de software con el que esa empresa trabaja.

Esto es especialmente problemático en el sector sanitario. Según la legislación estadounidense, las empresas que manejan PHI están obligadas a garantizar que sus socios comerciales y proveedores cumplan con los estándares de conformidad con la HIPAA. Sin embargo, el cumplimiento sobre el papel no siempre se traduce en una seguridad efectiva en el mundo real. Una empresa con tantos recursos como Hims puede invertir considerablemente en sus propias defensas y, aun así, seguir expuesta a través de un proveedor con controles más débiles.

La filtración de Hims no es un caso aislado. Las empresas de salud y telemedicina se han convertido en objetivos principales precisamente porque los datos que poseen son muy valiosos. Los registros médicos alcanzan precios significativamente más altos en los mercados criminales que los números de tarjetas de crédito, porque contienen información que no puede modificarse fácilmente y que puede utilizarse para cometer fraude de seguros, robo de identidad e ingeniería social dirigida.

Qué significa esto para usted

Si es cliente de Hims o Hims & Hers, debe asumir que la información que compartió a través de los canales de atención al cliente puede haber quedado expuesta. Esto podría incluir su nombre, datos de contacto y detalles sobre consultas médicas o recetas que haya tratado con el equipo de soporte.

De manera más general, esta filtración es un recordatorio útil de los riesgos que conlleva almacenar información personal sensible en sistemas centralizados. Las plataformas de telemedicina están diseñadas en torno a la comodidad, y esa comodidad a menudo significa consolidar sus datos de salud de maneras que crean objetivos atractivos para los atacantes. Cuanto más datos tenga una empresa, y cuantos más proveedores compartan esos datos, mayor será el daño potencial cuando algo salga mal.

Esto no significa que deba evitar los servicios de telemedicina. Para muchas personas, estos servicios brindan acceso a atención médica que de otro modo sería difícil o costosa de obtener. Sin embargo, sí significa que debe pensar detenidamente sobre qué información comparte a través de cualquier plataforma de salud digital, incluidos los tickets de soporte y las funciones de chat, que pueden almacenarse y procesarse fuera de los sistemas principales de la empresa.

Pasos concretos tras una filtración de datos de salud

Si utiliza Hims & Hers o una plataforma de telemedicina similar, aquí hay algunos pasos concretos que vale la pena tomar ahora mismo:

  • Esté alerta ante intentos de phishing. Los atacantes que obtienen datos relacionados con la salud a menudo los utilizan para elaborar mensajes de phishing muy convincentes. Sea escéptico ante cualquier correo electrónico o mensaje no solicitado que haga referencia a sus condiciones de salud, medicamentos o interacciones previas con la plataforma.
  • Revise sus cuentas. Verifique su cuenta de Hims y cualquier método de pago vinculado para detectar actividad inusual. Reporte cualquier actividad sospechosa tanto a la plataforma como a su institución financiera.
  • Esté atento al fraude de identidad. El robo de identidad médica, en el que alguien usa su información para obtener recetas o beneficios de seguros de manera fraudulenta, puede ser difícil de detectar. Considere colocar una alerta de fraude en las principales agencias de crédito y monitorear sus estados de cuenta de seguros para detectar servicios que no haya recibido.
  • Limite lo que comparte en los tickets de soporte. De ahora en adelante, tenga en cuenta que los canales de atención al cliente de cualquier empresa pueden ser gestionados por proveedores externos con su propia postura de seguridad. Evite compartir más detalles de los estrictamente necesarios.
  • Manténgase informado sobre la filtración. Esté pendiente de las comunicaciones oficiales de Hims sobre el alcance del incidente y cualquier medida de compensación que ofrezcan, como servicios de monitoreo de crédito.

Las filtraciones de datos en empresas de salud no van a desaparecer. A medida que más servicios de salud se trasladan al entorno digital, la cantidad de datos médicos sensibles en manos de plataformas digitales solo seguirá creciendo. Ser un usuario cuidadoso e informado de estos servicios es una de las defensas más efectivas al alcance de las personas comunes. Entender quién posee sus datos y qué hace con ellos es un punto de partida razonable para protegerse.