Filtración de datos de 2022 del laboratorio médico Гемотест (Gemotest)

El riesgo más importante del registro de Gemotest es la combinación de datos de identidad y de seguros de salud. Cuando se consideran en conjunto el nombre, la fecha de nacimiento, el género, el número de pasaporte, el campo de identificación oficial y la dirección física, aumenta la posibilidad de uso indebido en los procesos de verificación de identidad. La información de los seguros de salud también puede utilizarse en situaciones de fraude, como citas falsas, facturas falsas, reclamaciones de seguros o notificaciones a instituciones sanitarias.

Cuando las direcciones de correo electrónico se combinan con este conjunto de datos, aumenta el riesgo de recibir mensajes dirigidos específicamente a las personas afectadas. Los atacantes pueden enviar mensajes que aparenten ser resultados de pruebas, notificaciones del laboratorio, cambios de cita, actualizaciones del seguro o avisos de pago. Los campos como la dirección física y la información del pasaporte pueden afectar no solo a la seguridad en línea, sino también a la protección de la identidad en el mundo real. En este incidente, aunque no se ha confirmado una filtración de contraseñas, el riesgo para los datos de identidad y de salud podría persistir durante mucho más tiempo.

Para este registro, la cifra verificable mediante búsquedas por correo electrónico debe mantenerse en 6 341 495. La referencia a 31 millones de registros de pacientes en el contexto más amplio del incidente no significa que esa cifra represente el número de coincidencias por correo electrónico. No todos los registros tienen por qué corresponder a una única persona real; puede haber duplicados de un mismo paciente, información de contacto antigua o registros de distintos servicios. Por lo tanto, el alcance general entre los pacientes y la cobertura de las búsquedas por correo electrónico deben describirse por separado en el texto.

Las categorías de datos verificadas son fechas de nacimiento, direcciones de correo electrónico, información sobre el género, datos de identificación oficial, información de seguros de salud, nombres, números de pasaporte y direcciones físicas. No deben añadirse al registro contraseñas, hashes de contraseñas, tarjetas de pago, cuentas bancarias, números de teléfono, textos de resultados de pruebas, información sobre diagnósticos, recetas, notas de médicos ni informes médicos, salvo que se hayan verificado. Aunque el contexto sanitario es importante, no deben presentarse al usuario campos de contenido médico que no estén verificados.

El mayor riesgo corresponde a los pacientes que han utilizado los servicios de Gemotest y cuyos datos de pasaporte, seguro o dirección figuran junto con su dirección de correo electrónico. La información del seguro de salud y de identidad puede utilizarse en intentos de fraude relacionados con servicios sanitarios, reclamaciones de seguros, verificación de identidad y operaciones financieras. Campos como la dirección y la fecha de nacimiento también pueden afectar a las preguntas de seguridad o a los procesos de verificación manual de otros servicios.

También deben extremar la precaución las personas mayores, quienes se someten regularmente a pruebas médicas, quienes reservan citas en nombre de familiares y los pacientes que realizan gestiones con seguros de salud. Estas personas pueden ser más propensas a creer mensajes falsos que aparenten proceder de un laboratorio, una aseguradora o una institución sanitaria. Cuando una dirección de correo electrónico aparece junto con información de identidad, los atacantes pueden personalizar el mensaje para esa persona. Por ello, si se encuentra una coincidencia con sus datos, no solo debe revisar la seguridad de su correo electrónico, sino también vigilar las gestiones relacionadas con su identidad y su seguro.

Si su dirección de correo electrónico figura en este registro, debe revisar con atención todos los mensajes relacionados con servicios sanitarios o seguros. Si recibe resultados de pruebas, información sobre citas o pagos, actualizaciones del seguro o enlaces para verificar documentos, escriba manualmente la dirección web oficial de la institución o utilice un canal telefónico conocido, en lugar de hacer clic directamente en el enlace. Considere sospechosos los correos electrónicos y mensajes que soliciten información de su pasaporte o de sus documentos oficiales de identidad.

Active la autenticación multifactor en su cuenta de correo electrónico y actualice las opciones de recuperación de la cuenta. Vigile si se presentan en su nombre reclamaciones de seguros, solicitudes de atención sanitaria, solicitudes de crédito o notificaciones de cambio de dirección inesperadas. Ante el posible uso indebido de los datos del pasaporte y de los documentos oficiales de identidad, consulte regularmente los servicios de protección de identidad, alertas o verificación de solicitudes que ofrezcan las instituciones correspondientes.

El incidente de Gemotest muestra que la información de identidad y de seguros recopilada en los servicios sanitarios conlleva riesgos a largo plazo. Considere utilizar direcciones de correo electrónico distintas para sus cuentas de salud, seguros y finanzas, mantenga activada la autenticación multifactor en las cuentas importantes y verifique por un canal independiente las solicitudes digitales que requieran documentos de identidad. Dado que datos como la dirección, la fecha de nacimiento y la información del pasaporte son difíciles de cambiar, el riesgo puede persistir durante años.

La principal lección para los proveedores de servicios sanitarios es que deben almacenar únicamente los datos de pacientes que sean estrictamente necesarios y restringir rigurosamente el acceso a campos como los de identidad, seguro y dirección. Deben supervisarse los registros de acceso, revisarse los plazos de conservación de los datos e indicarse claramente en los informes de incidentes qué campos de identidad ajenos a la información médica se han visto afectados. Si no se ha verificado la presencia de contenido médico, como resultados de pruebas o diagnósticos, esta limitación debe explicarse claramente al usuario.

Al comprobar el registro de la filtración de Gemotest, el resultado indica si la dirección de correo electrónico introducida se encuentra en este conjunto de datos verificado. Si el resultado es positivo, deben evaluarse de forma conjunta los riesgos asociados a la dirección de correo electrónico, el nombre, la fecha de nacimiento, el género, los datos de identificación oficial, el número de pasaporte, la información del seguro de salud y la dirección física. Si el resultado es negativo, significa que no se encontró ninguna coincidencia en este conjunto específico de datos de correo electrónico; esto no demuestra que la persona no figure en un archivo de pacientes más amplio o en otros incidentes relacionados con datos de salud.

Las medidas adecuadas consisten en reforzar la seguridad de su correo electrónico, verificar por un canal independiente los mensajes sobre salud y seguros, examinar con atención las solicitudes de documentos de identidad, vigilar las operaciones inesperadas relacionadas con seguros o atención sanitaria y mantener un seguimiento a largo plazo para detectar indicios de fraude vinculado a sus datos de identificación oficial. Este registro no representa un riesgo a corto plazo como el de una filtración de contraseñas; por el contexto de identidad, dirección y seguro de salud, requiere atención continua.