Filtración de datos de CTARS

Los tipos de datos registrados en CTARS abarcan varias dimensiones: las direcciones de correo electrónico y los nombres de usuario están vinculados al acceso a las cuentas; las contraseñas, al riesgo para la identidad; los números de teléfono y las direcciones físicas, a la comunicación directa y al contexto de ubicación; las fechas de nacimiento y la información de género, a los procesos de autenticación; y los nombres y tratamientos, a la identidad de una persona en el mundo real. Uno de los ámbitos más críticos es el de los datos personales de salud. En el contexto de los servicios de atención, la información sobre el estado de salud, las necesidades de apoyo, el proceso de tratamiento o el plan de atención puede afectar directamente a la privacidad de una persona. Cuando estos datos quedan expuestos, el riesgo no se limita a la toma de control de cuentas; también pueden surgir riesgos de discriminación, fraude dirigido, chantaje e ingeniería social.

La presencia de campos de contraseña y nombre de usuario aumenta el riesgo de que se intente acceder a otros servicios con las credenciales de las personas afectadas o del personal de los proveedores de atención. La información de teléfono y dirección puede utilizarse para establecer contactos más convincentes, como llamadas de soporte falsas, notificaciones de entrega, citas de servicios de atención o suplantaciones de instituciones oficiales. La fecha de nacimiento y el nombre están vinculados a preguntas de verificación de identidad en algunos procesos de atención al cliente, por lo que pueden ayudar a un atacante a eludir los controles de seguridad de otras cuentas. Los datos relacionados con la salud constituyen la capa más sensible; por ello, este registro no debe considerarse un incidente que pueda resolverse únicamente cambiando la contraseña.

La cifra de 12 314 utilizada en este registro corresponde al número de direcciones de correo electrónico únicas verificadas. El incidente está vinculado a un suceso más amplio relacionado con CTARS que afecta a proveedores de servicios de atención en Australia; algunas notificaciones han indicado que podrían verse afectados un gran número de instituciones y distintos grupos de clientes. No obstante, la cifra de esta página refleja el alcance de las cuentas que se pudieron comprobar y no representa necesariamente el número total exacto de personas afectadas. No debe suponerse que existen los mismos campos para cada persona: en algunos casos puede haber solo información de contacto, mientras que en otros puede haberse incluido información más sensible relacionada con la atención o la salud.

La fecha del registro se ha corregido a mayo de 2022. Según lo informado, el acceso no autorizado se detectó a mediados de mayo de 2022 y posteriormente se supo que algunos datos se habían compartido con destinatarios no autorizados. El año incorrecto que figuraba anteriormente se corrigió porque no coincidía con la cronología verificada de este incidente. Esta corrección es importante, ya que mostrar una fecha errónea de la filtración podría confundir al usuario sobre qué período contable y qué relación de servicio debe revisar. Dado que el registro es sensible, los resultados solo deben mostrarse al titular de la dirección de correo electrónico correspondiente o a una persona con autorización sobre el dominio.

Las personas con mayor riesgo son los participantes del NDIS atendidos por proveedores que utilizan CTARS, las personas que reciben servicios para personas con discapacidad, las vinculadas a servicios para la infancia y la familia, los residentes en centros de atención a personas mayores, los cuidadores, los familiares y el personal que trabaja en estos servicios. Estos grupos pueden ser ya más vulnerables a los intentos de fraude y coacción debido a sus necesidades de apoyo o a sus circunstancias de vida delicadas. Los atacantes pueden combinar nombres reales, información de contacto y detalles del contexto de atención para crear llamadas, mensajes o correos electrónicos que parezcan fiables. Se debe prestar especial atención a los contactos que se hagan pasar por instituciones oficiales, proveedores de atención, coordinadores de apoyo o unidades de verificación de identidad.

El riesgo también es elevado para los empleados de las instituciones y los proveedores de servicios. Si los nombres de usuario y las contraseñas de los empleados se reutilizan en otros sistemas, los atacantes pueden dirigir sus ataques al correo electrónico de la institución, al sistema de gestión de casos, al almacenamiento en la nube o a las cuentas de acceso remoto. Los registros antiguos de los proveedores de mantenimiento en CTARS también pueden verse afectados, aunque los servicios ya no se utilicen; por ello, deben tenerse en cuenta no solo los clientes actuales, sino también las personas que tuvieron registros en el sistema anteriormente. Los familiares y los representantes legales también están en riesgo, ya que la información conservada sobre las personas de contacto puede utilizarse en intentos de fraude.

Si sus datos coinciden con el registro de CTARS, el primer paso es actualizar todas las cuentas que utilicen la misma contraseña o una similar. Debe dar prioridad a la revisión de las cuentas de correo electrónico, los portales de servicios de salud, las cuentas de servicios públicos, la banca, el almacenamiento en la nube y los sistemas de los proveedores de mantenimiento. Las contraseñas deben ser únicas y se debe activar la autenticación multifactor en las cuentas importantes. En la cuenta de correo electrónico, debe revisar las reglas de reenvío, las opciones de recuperación y la actividad reciente de inicio de sesión. Si detecta inicios de sesión sospechosos, dispositivos desconocidos o mensajes inesperados de restablecimiento de contraseña, debe ponerse en contacto directamente con el proveedor del servicio correspondiente.

El segundo paso es reducir el riesgo de suplantación de identidad y fraude. No debe compartir información sobre salud, atención, pagos, documentos de identidad o cuentas con personas que llamen o envíen mensajes de texto cuya identidad no haya sido verificada. Si recibe una comunicación que parece proceder de una institución oficial o de un proveedor de atención, debe responder a través del canal de contacto conocido de la institución, sin utilizar el enlace del mensaje. Si la persona afectada participa en el NDIS, recibe servicios de atención o es un representante legal, se debe informar al coordinador de apoyo o al proveedor de servicios. Si es necesario, debe recurrir a servicios gratuitos de apoyo en materia de identidad y dejar constancia de los contactos sospechosos.

Este incidente demuestra el alto grado de sensibilidad de los datos registrados en los servicios de atención y salud. A largo plazo, los usuarios deben adoptar hábitos de verificación más estrictos para las solicitudes que reciben por correo electrónico y teléfono. El uso de un gestor de contraseñas evita reutilizarlas en distintos servicios. La autenticación multifactor, la revisión del historial de sesiones y el mantenimiento de la información de recuperación actualizada en las cuentas importantes proporcionan una seguridad duradera. Para las personas que reciben servicios de salud y atención, también es útil establecer un plan compartido de verificación de las comunicaciones con familiares, representantes legales o personal de apoyo.

Para los proveedores de atención y de software, la estrategia a largo plazo es más amplia. Los datos sensibles de salud y atención deben conservarse conforme al principio de mínimo privilegio; los registros antiguos no deben retenerse sin necesidad; los registros de acceso deben revisarse periódicamente; y la autenticación robusta debe ser obligatoria para las cuentas de alto riesgo. En la respuesta a incidentes, la desactivación técnica por sí sola no es suficiente: se debe informar claramente a las personas afectadas sobre qué ámbitos están en riesgo, qué canales de apoyo deben utilizar y a qué situaciones de fraude deben prestar atención. Las instituciones que utilizan proveedores también deben actualizar periódicamente sus propios inventarios de datos y la evaluación de los riesgos asociados a terceros.

Si el resultado de la comprobación en esta página coincide con el registro de CTARS, debe tratarlo como información sensible y no compartirlo con personas que no necesiten conocerlo. En primer lugar, debe proteger la cuenta de correo electrónico y cualquier otra cuenta en la que pueda haber utilizado la misma contraseña. Después, debe ponerse en contacto con el proveedor de mantenimiento, el coordinador de apoyo o la institución correspondiente a través de un canal de comunicación verificado para preguntar qué datos pueden haberse visto afectados. Si recibe una llamada, un mensaje o un correo electrónico sospechoso, no debe responder directamente; debe verificar la comunicación por separado a través de un canal fiable.

Una vulneración de CTARS requiere atención a largo plazo por su contexto de salud y atención. La persona afectada o su representante debe vigilar los indicios de uso indebido de su identidad, las solicitudes de servicios inesperadas, las notificaciones de recuperación de cuentas y la correspondencia oficial sospechosa. Cuando la seguridad de las contraseñas, la autenticación y la concienciación sobre el fraude no se abordan conjuntamente, el impacto de estas filtraciones de datos sensibles puede durar años. Por ello, el registro debe considerarse un motivo para adoptar medidas más amplias de seguridad personal y privacidad, y no una alerta puntual sobre una contraseña.