Una importante brecha en la cadena de suministro de atención médica

McKesson, una de las mayores empresas de la cadena de suministro médico en Estados Unidos, ha confirmado una brecha de datos que, según se informa, expuso 284 millones de registros de pacientes. La magnitud de este incidente lo sitúa entre las brechas de datos de atención médica más significativas divulgadas este año, y subraya cuánta información personal y médica sensible circula a través de las empresas que apoyan a hospitales y farmacias entre bastidores.

Según los reportes sobre el incidente, el grupo de amenazas conocido como ShinyHunters se atribuye la responsabilidad de la brecha, alegando que robó aproximadamente 1 terabyte de datos que contenían 284 millones de filas de información de pacientes del entorno de datos en la nube Snowflake de McKesson. El grupo habría exigido aproximadamente 55 millones de dólares a McKesson en relación con los datos robados. McKesson divulgó el incidente de ciberseguridad en una presentación del Formulario 8-K ante la Comisión de Bolsa y Valores de Estados Unidos, un paso obligatorio para las empresas que cotizan en bolsa y enfrentan eventos de seguridad materiales.

McKesson suministra productos farmacéuticos y médicos a una gran parte de los hospitales del país, lo que significa que los datos expuestos probablemente tocan una enorme sección transversal de pacientes que quizás nunca hayan interactuado directamente con la empresa. Ese es uno de los aspectos más preocupantes de las brechas en la cadena de suministro: los pacientes a menudo no tienen una relación directa con la organización afectada, pero su información de salud protegida (PHI, por sus siglas en inglés) y sus datos personales aún pueden verse comprometidos.

Por qué los proveedores de la cadena de suministro son objetivos de alto valor

Las empresas de la cadena de suministro de atención médica como McKesson se encuentran en la intersección de enormes cantidades de datos sensibles y sistemas complejos e interconectados. Procesan registros de prescripciones, identificadores de pacientes y otra información de salud protegida como parte rutinaria de hacer negocios con hospitales, clínicas y farmacias en todo el país.

Esta brecha encaja en un patrón más amplio con el que el sector de la salud ha luchado en los últimos años. Los atacantes reconocen cada vez más que los proveedores externos y los proveedores de infraestructura, no solo los hospitales mismos, pueden ofrecer un único punto de falla que expone datos pertenecientes a millones de pacientes en muchos proveedores de atención diferentes. Una dinámica similar se desarrolló en el ataque de ransomware a ChipSoft que expuso datos de pacientes neerlandeses, donde el compromiso de un único proveedor de software se extendió para afectar a pacientes en todo un sistema de salud. Cuando un proveedor que toca millones de registros de pacientes se ve comprometido, las consecuencias se extienden mucho más allá de la base de clientes de esa única empresa.

El uso de plataformas de datos en la nube como Snowflake en este incidente también es notable. A medida que las organizaciones de atención médica y sus proveedores dependen cada vez más del almacenamiento de datos basado en la nube para gestionar conjuntos de datos masivos, proteger esos entornos, incluidos los controles de acceso, la monitorización y la gestión de credenciales, se vuelve tan crítico como proteger los sistemas tradicionales locales.

El costo humano detrás de las cifras

Es fácil que un número como 284 millones de registros resulte abstracto, pero cada fila de ese conjunto de datos robado probablemente representa el historial de prescripciones, los detalles médicos o los identificadores personales de una persona real. La información de salud protegida es particularmente valiosa para los delincuentes porque, a diferencia de un número de tarjeta de crédito, no se puede simplemente cancelar y reemitir. Los datos médicos robados pueden utilizarse para fraude de seguros, campañas de phishing dirigidas, robo de identidad e intentos de extorsión contra las personas afectadas.

Las brechas de atención médica también conllevan riesgos operativos más allá de la exposición de datos. Los debates en eventos del sector centrados en la ciberseguridad hospitalaria han destacado que cuando el ransomware o las brechas importantes golpean a las organizaciones de atención médica, las repercusiones pueden extenderse a la propia atención del paciente, no solo a la privacidad de los datos, como se cubrió en los reportes sobre la cumbre de atención médica Black Hat y HIMSS. Si bien el incidente de McKesson es principalmente un evento de exposición de datos más que una interrupción de la atención, refleja la misma vulnerabilidad subyacente: la cadena de suministro de la atención médica es tan segura como su eslabón más débil.

Qué significa esto para ti

Si alguna vez has recibido recetas o productos médicos a través de un proveedor que trabaja con McKesson, y dada la escala de la empresa, eso podría incluir una gran parte de los pacientes estadounidenses, vale la pena tratar esta brecha como una razón para estar más atento, incluso antes de que lleguen las notificaciones oficiales. Mantente atento a:

  • Declaraciones de explicación de beneficios (EOB) de tu aseguradora de salud por servicios o recetas que no reconozcas
  • Llamadas, mensajes de texto o correos electrónicos inesperados que hagan referencia a tu historial médico o recetas, que podrían ser intentos de phishing usando datos robados
  • Avisos de McKesson o de tu proveedor de atención médica sobre la brecha, y cualquier oferta de servicios de monitorización de crédito o protección de identidad
  • Tus informes de crédito, ya que la PHI a menudo se combina con otros datos identificativos utilizables para el robo de identidad

McKesson aún no ha confirmado el alcance total ni la exactitud de las afirmaciones de ShinyHunters, y los detalles pueden evolucionar a medida que continúe la investigación. No obstante, dado el enorme volumen de registros supuestamente involucrados, los pacientes afectados por esta brecha de datos de McKesson deberían asumir cierta exposición de información personal hasta que se emita una orientación más concreta.

Puntos clave

La brecha de datos de McKesson es un recordatorio de que los riesgos de privacidad en la atención médica se extienden mucho más allá de los muros de los hospitales y clínicas, hacia los proveedores y plataformas en la nube que manejan silenciosamente datos de pacientes a gran escala. Revisa cuidadosamente cualquier notificación de brecha que recibas, monitoriza tus cuentas médicas y financieras en busca de actividad inusual, y considera congelar tu crédito si sospechas que tu información formó parte de esta exposición. A medida que continúen las investigaciones sobre este incidente, mantenerse informado a través de actualizaciones verificadas de McKesson y los reguladores sigue siendo la mejor manera de protegerse después de lo ocurrido.