Il procuratore generale di New York ha raggiunto un accordo in merito a una violazione di dati medici che ha interessato 13,3 milioni di persone a seguito di falle di sicurezza di base.
Perry Johnson & Associates (PJ&A) e quattro società collegate hanno accettato di pagare 300.000 dollari e di implementare ampie riforme in materia di sicurezza a seguito di una violazione che ha esposto informazioni personali e mediche appartenenti a oltre 13,3 milioni di persone. Rischiano inoltre di dover pagare ulteriori 9,7 milioni di dollari di sanzioni qualora non rispettassero i termini dell'accordo.
Il 6 novembre, il procuratore generale di New York, Letitia James, ha annunciato l'accordo insieme ai procuratori generali di Connecticut, Michigan e New Jersey. Circa 4,2 milioni delle persone colpite erano residenti a New York.
L'indagine descrive una serie di falle: accesso remoto senza autenticazione a più fattori , password quasi identiche diffuse via e-mail, file sensibili senza crittografia a livello di file e software di sicurezza che ha rilevato attività dannose ma non ha allertato il personale addetto alla sicurezza.
Il risultato: le aziende hanno scoperto l'attacco solo quando gli aggressori le hanno contattate il 2 maggio 2023, chiedendo un risarcimento.
Quante persone sono state colpite?
I file del database rubati contenevano dati relativi a oltre 13,3 milioni di persone, tra cui circa 4,2 milioni di newyorkesi.
Precedenti rapporti indicavano un numero di pazienti colpiti pari a circa 8,95 milioni. I documenti dell'accordo ora riportano la cifra più elevata, superiore a 13,3 milioni. Il totale potrebbe essere ancora maggiore, poiché il Procuratore Generale ha scoperto che gli hacker hanno avuto accesso anche a file in archivi di rete condivisi contenenti informazioni personali e sanitarie, ma le aziende non hanno esaminato tali file per identificare ulteriori persone colpite.
Le informazioni includevano:
- Nomi, date di nascita e indirizzi di residenza.
- Numeri di previdenza sociale.
- Cartella clinica e numero di conto ospedaliero.
- Informazioni sull'assicurazione.
- Diagnosi di ammissione e date di trattamento.
- Informazioni cliniche ricavate da trascrizioni mediche, inclusi risultati di esami, farmaci, strutture di cura e operatori sanitari.
Verifica se i tuoi dati personali sono stati divulgati.
Anche le notifiche sono state lente. PJ&A ha iniziato a contattare i clienti in merito ai file del database rubati nel luglio 2023, e i suoi clienti hanno notificato le persone interessate tra il 31 ottobre 2023 e l'8 febbraio 2024. Il procuratore generale di New York ha riscontrato che le società hanno violato i requisiti statali relativi alla divulgazione della violazione nel più breve tempo possibile e senza indebiti ritardi.
L'insediamento
Sebbene l'annuncio descriva un accordo del valore massimo di 10 milioni di dollari, le aziende dovranno pagare 300.000 dollari di sanzioni agli stati. I restanti 9,7 milioni di dollari sono sospesi e potrebbero diventare esigibili. Lo stato di New York riceverà 100.000 dollari dal pagamento iniziale. Si tratta di pagamenti agli stati, non di un risarcimento annunciato ai pazienti.
Le informazioni divulgate potrebbero essere preziose per i criminali. La nostra ricerca ha rilevato che i pacchetti di identità rubate vengono venduti sul dark web a prezzi irrisori, anche a soli 95 centesimi l'uno .
L'accordo prevede inoltre ampie modifiche in materia di sicurezza per le società attive interessate, tra cui:
- Autenticazione a più fattori (MFA) per i singoli account utente, inclusi gli account amministratore, e per l'accesso remoto alla rete.
- Gestione più rigorosa delle password e accesso limitato a quanto strettamente necessario per lo svolgimento delle mansioni lavorative.
- Crittografia delle informazioni personali e sanitarie protette.
- Sistema di monitoraggio che allerta automaticamente il personale di sicurezza in caso di attività sospette.
- Valutazioni annuali dei rischi e test di penetrazione.
- Segmentazione della rete e misure per rilevare e prevenire trasferimenti di dati non autorizzati.
- Procedure scritte per la gestione degli incidenti e norme più chiare per la conservazione e lo smaltimento sicuro delle informazioni sensibili .
Considerata la negligenza, il numero di dati e le persone coinvolte, pensate che le aziende se la siano cavata con poco? Fatecelo sapere nei commenti.
Come stare al sicuro
Una violazione dei dati non significa automaticamente che qualcuno abbia utilizzato impropriamente le tue informazioni, ma puoi adottare queste precauzioni in attesa di ulteriori dettagli:
- Verifica autonomamente i messaggi inattesi. Non lasciarti influenzare da un messaggio relativo a una violazione dei dati e non cliccare su un link, condividere informazioni sensibili o effettuare un pagamento. Visita direttamente il sito web ufficiale del tuo medico o della tua compagnia assicurativa, oppure utilizza i recapiti di cui ti fidi.
- Esaminate attentamente le fatture mediche e gli estratti conto assicurativi. Verificate la presenza di appuntamenti, esami, prescrizioni o servizi che non avete ricevuto. La Federal Trade Commission (FTC) identifica le fatture mediche sconosciute e le voci inaspettate nel riepilogo delle prestazioni, che spiega come la vostra assicurazione ha elaborato una richiesta di rimborso, come segnali di allarme di furto di identità medica. Segnalate eventuali discrepanze al vostro medico e alla vostra assicurazione.
- Esamina i tuoi report di credito. Cerca conti o debiti sconosciuti e contesta eventuali errori. Puoi ottenere report gratuiti tramite AnnualCreditReport.com .
- Agisci se riscontri segni di furto d'identità. Visita IdentityTheft.gov per un piano di recupero. Se qualcuno ha ricevuto cure mediche a tuo nome, chiedi ai fornitori di servizi sanitari coinvolti copie della tua cartella clinica e richiedi per iscritto le correzioni necessarie.
Il furto di identità medica non è solo un problema finanziario; può anche compromettere le cure. Qualcuno che utilizza la tua identità per ottenere trattamenti o presentare richieste di rimborso assicurativo potrebbe inserire informazioni errate nella tua cartella clinica. Controllare le cartelle cliniche e segnalare qualsiasi anomalia può aiutarti a smascherare questo abuso.
Ammettiamolo, una finestra di navigazione in incognito può fare solo fino a un certo punto.
Violazioni dei dati, commercio sul dark web, frodi con carte di credito. Malwarebytes Identity Theft Protection monitora tutto questo, ti avvisa tempestivamente e include un'assicurazione contro il furto d'identità.
