La empresa de monitorización cardíaca iRhythm ha sido víctima de un robo de datos seguido de un intento de extorsión.
En un documento presentado ante la Comisión de Valores y Bolsa (SEC), iRhythm reveló que el 9 de junio recibió una comunicación de una persona que afirmaba haber sustraído información confidencial, entre la que se incluían datos de propiedad exclusiva, información médica protegida de pacientes y otros datos personales. Dicha persona exigió un pago a cambio de no hacer públicos los datos.
iRhythm ofrece servicios de monitorización y análisis cardíaco ambulatorio (por ejemplo, mediante el parche Zio) y, según se ha informado, ha procesado más de dos mil millones de horas de datos sobre el ritmo cardíaco de más de doce millones de pacientes.
En la notificación, la empresa indicó que los datos se obtuvieron mediante técnicas de ingeniería social y proceden de «determinadas aplicaciones empresariales alojadas por terceros», sin revelar más detalles sobre el volumen de datos.
En su propia página web, iRhythm tampoco da muchos detalles sobre la naturaleza de los datos robados, pero parece dar a entender que no se han visto afectados datos financieros:
«No hemos detectado ningún impacto en nuestros productos, nuestros sistemas clínicos o de dispositivos médicos, nuestras relaciones con los clientes, nuestras operaciones de fabricación y distribución, la seguridad de los pacientes ni nuestra capacidad para satisfacer las necesidades de los pacientes. Además, no almacenamos ni conservamos información financiera de cuentas individuales ni datos de tarjetas de pago.
«A medida que avancemos en la investigación, informaremos a las personas afectadas por este incidente de conformidad con la legislación vigente y tomaremos las medidas necesarias para protegerlas y paliar las consecuencias que esto les haya podido causar».
Sin embargo, en la notificación presentada ante la SEC se añade que iRhythm consideró que el incidente era grave, «dado el volumen de datos que podrían verse afectados». Si a esto le sumamos las afirmaciones de los extorsionadores de que disponen de datos médicos de los pacientes, esta filtración merece especial atención si has utilizado los servicios de iRhythm.
Incluso sin datos de pago, las filtraciones de datos sanitarios tienen graves consecuencias a largo plazo:
- Los atacantes pueden crear correos electrónicos, mensajes de texto o llamadas muy convincentes en los que hagan referencia a procedimientos específicos o a episodios de monitorización (por ejemplo, «sobre tu reciente registro del parche de Zio») para engañar a los pacientes y que estos faciliten más datos o paguen facturas falsas.
- Los datos filtrados pueden utilizarse para crear una identidad falsa, cometer fraude a las aseguradoras o suplantar la identidad médica.
- La divulgación de información médica, tanto cardíaca como de otro tipo, puede ser un tema muy delicado y tener consecuencias en el ámbito laboral o en materia de seguros, especialmente si los datos se publican abiertamente o se venden a intermediarios de datos.
Los datos sobre filtraciones en el sector sanitario suelen seguir circulando durante años, y las víctimas pueden verse expuestas a intentos esporádicos de fraude y suplantación de identidad mucho después de que el tema haya dejado de ser noticia.
Cómo mantenerse seguro
Si ha utilizado los servicios de iRhythm, esté atento al correo postal, al correo electrónico y a los portales de pacientes para recibir las notificaciones oficiales de la filtración por parte de iRhythm o de su proveedor de atención médica.
En Estados Unidos, las filtraciones de información sanitaria protegida que cumplan determinados criterios deben notificarse a los pacientes y a las autoridades reguladoras. iRhythm se ha comprometido a «notificar a las personas afectadas por este incidente de conformidad con la legislación aplicable y a tomar las medidas necesarias para protegerlas y paliar las consecuencias que esto les haya podido acarrear».
Para evitar caer en manos de los estafadores y los piratas informáticos:
- Cuando reciba una notificación sobre la filtración de datos, compruebe a través de otros canales que realmente provenga de iRhythm. Acceda directamente al sitio web oficial de iRhythm o al portal del paciente, o llame a un número de teléfono conocido para confirmar que la notificación es auténtica.
- Desconfíe especialmente de los correos electrónicos o mensajes de texto que afirmen ofrecer indemnizaciones, reembolsos u otras compensaciones económicas relacionadas con este incidente.
- Cambia las contraseñas de los portales vinculados a iRhythm y de los portales para pacientes de cardiología u hospitales, sobre todo si has utilizado esas mismas contraseñas en otros sitios.
- Inicia sesión en el portal de tu aseguradora médica y revisa periódicamente tus reclamaciones.
- Si detectas algo sospechoso, comunícalo de inmediato a tu aseguradora y a tu proveedor, y pídeles que marquen tu cuenta como susceptible de sufrir un posible robo de identidad.
- No facilites información personal o financiera por teléfono solo porque la persona que te llama conozca datos sobre ti que pueda haber obtenido de los datos robados.
Seamos realistas, una ventana de incógnito tiene sus limitaciones.
Filtraciones de datos, comercio en la dark web, fraude crediticio. Malwarebytes Identity Theft supervisa todo ello, te avisa rápidamente y incluye un seguro contra el robo de identidad.
