El fiscal general de Nueva York ha llegado a un acuerdo por una filtración de datos médicos que afectó a 13,3 millones de personas tras fallos básicos de seguridad.
Perry Johnson & Associates (PJ&A) y cuatro empresas relacionadas han acordado pagar 300.000 dólares e implementar amplias reformas de seguridad tras una filtración que expuso información personal y médica de más de 13,3 millones de personas. Se enfrentan a multas adicionales de 9,7 millones de dólares si no cumplen con los términos del acuerdo.
La fiscal general de Nueva York, Letitia James, anunció el acuerdo el 6 de noviembre, junto con los fiscales generales de Connecticut, Michigan y Nueva Jersey. Aproximadamente 4,2 millones de las personas afectadas eran residentes de Nueva York.
La investigación describe una serie de fallos: acceso remoto sin autenticación multifactor , contraseñas casi idénticas que circulaban por correo electrónico, archivos confidenciales sin cifrado a nivel de archivo y software de seguridad que detectaba actividad maliciosa pero no alertaba al personal de seguridad.
El resultado: las empresas solo descubrieron el ataque cuando los atacantes se pusieron en contacto con ellas el 2 de mayo de 2023 y exigieron un pago.
¿Cuántas personas se vieron afectadas?
Los archivos de la base de datos robados contenían registros asociados a más de 13,3 millones de personas, entre ellas aproximadamente 4,2 millones de neoyorquinos.
Informes anteriores cifraban el número de pacientes afectados en aproximadamente 8,95 millones. Los documentos del acuerdo ahora ofrecen una cifra mayor, de más de 13,3 millones. El total podría ser superior, ya que la Fiscalía General descubrió que los atacantes también accedieron a archivos en el almacenamiento compartido de la red que contenían información personal y de salud, pero las empresas no revisaron esos archivos para identificar a otras personas afectadas.
La información incluía:
- Nombres, fechas de nacimiento y direcciones particulares.
- Números de Seguro Social.
- Números de historial médico y de cuenta hospitalaria.
- Información del seguro.
- Diagnósticos de ingreso y fechas de tratamiento.
- Información clínica procedente de transcripciones médicas, incluidos resultados de pruebas, medicamentos, centros de tratamiento y proveedores de atención médica.
Comprueba si tus datos personales han quedado expuestos.
Las notificaciones también fueron lentas. PJ&A comenzó a contactar a sus clientes sobre los archivos de la base de datos robados en julio de 2023, y sus clientes notificaron a las personas afectadas entre el 31 de octubre de 2023 y el 8 de febrero de 2024. La Fiscalía General de Nueva York determinó que las empresas incumplieron los requisitos estatales de revelar una violación de seguridad lo antes posible y sin demoras injustificadas.
El acuerdo
Si bien el anuncio describe un acuerdo por un valor de hasta 10 millones de dólares, las empresas deben pagar 300 000 dólares en multas a los estados. Los 9,7 millones de dólares restantes están suspendidos y podrían ser exigibles. Nueva York recibirá 100 000 dólares del pago inicial. Estos son pagos a los estados, no una indemnización anunciada para los pacientes.
La información expuesta podría ser valiosa para los delincuentes. Nuestra investigación encontró paquetes de identidad robados que se venden por tan solo 95 centavos cada uno en la web oscura .
El acuerdo también exige cambios de seguridad sustanciales para las empresas activas pertinentes, entre los que se incluyen:
- Autenticación multifactor para cuentas de usuario individuales, incluidas las cuentas de administrador, y para el acceso remoto a la red.
- Mayor seguridad en la gestión de contraseñas y acceso restringido a lo estrictamente necesario para el trabajo de los empleados.
- Cifrado de información personal y de salud protegida.
- Sistema de vigilancia que alerta automáticamente al personal de seguridad ante cualquier actividad sospechosa.
- Evaluaciones de riesgos anuales y pruebas de penetración.
- Segmentación de redes y medidas para detectar y prevenir transferencias de datos no autorizadas.
- Procedimientos escritos de respuesta ante incidentes y normas más claras para la conservación y eliminación segura de información confidencial .
Dada la negligencia, la cantidad de registros expuestos y las personas involucradas, ¿crees que las empresas salieron impunes? Déjanos tu opinión en los comentarios.
Cómo mantenerse a salvo
Una filtración no significa automáticamente que alguien haya hecho un mal uso de su información, pero puede tomar estas precauciones mientras espera más detalles:
- Verifique los mensajes inesperados de forma independiente. No permita que un mensaje sobre la filtración de datos lo presione a hacer clic en un enlace, compartir información confidencial o realizar un pago. Visite usted mismo el sitio web oficial de su proveedor de atención médica o aseguradora, o utilice los datos de contacto que ya conoce y en los que confía.
- Revise las facturas médicas y los estados de cuenta de su seguro. Busque citas, pruebas, recetas o servicios que no haya recibido. La Comisión Federal de Comercio (FTC) identifica las facturas médicas desconocidas y los cargos inesperados en el estado de cuenta de beneficios, que explica cómo su aseguradora procesó el reclamo, como señales de alerta de robo de identidad médica. Informe las discrepancias a su proveedor de atención médica y a su aseguradora.
- Revisa tus informes de crédito. Busca cuentas o deudas desconocidas y disputa los errores. Puedes obtener informes gratuitos en AnnualCreditReport.com .
- Actúa si detectas indicios de robo de identidad. Visita IdentityTheft.gov para obtener un plan de recuperación. Si alguien ha recibido atención médica a tu nombre, solicita a los proveedores involucrados copias de tu historial clínico y pide correcciones por escrito.
El robo de identidad médica no es solo un problema financiero; también puede afectar su atención médica. Si alguien usa su identidad para obtener tratamiento o presentar reclamaciones de seguro, podría introducir información incorrecta en su historial clínico. Revisar sus estados de cuenta médicos e informar sobre cualquier dato sospechoso puede ayudarle a detectar este uso indebido.
Seamos realistas, una ventana de incógnito tiene sus limitaciones.
Filtraciones de datos, comercio en la web oscura, fraude con tarjetas de crédito. Malwarebytes Identity Theft Protection lo monitoriza todo, te avisa rápidamente e incluye un seguro contra el robo de identidad.
