Filtración de datos de HealthEquity 2024
La filtración de datos de HealthEquity de 2024 involucró una cuenta comprometida de un socio comercial que se utilizó para acceder a un almacenamiento en línea de datos no estructurados ajeno a los sistemas principales.
El total de afectados no está confirmado, por lo que no se puede determinar la gravedad únicamente a partir de la cantidad de registros.
Tipos de datos expuestos
1 sensibles8- Payment card information excluding payment-card numbers and HealthEquity debit-card information
- Nombres
- Direcciones físicas
- Números de teléfono
- Employee IDs
- Información sobre empleadores
- Números de la seguridad social
- Dependents’ general contact information
Acerca de esta brecha de datos
Un documento presentado ante el organismo regulador señala el 9 de marzo de 2024 como la fecha conocida de la filtración. HealthEquity recibió una alerta de anomalía el 25 de marzo, el análisis forense continuó hasta el 10 de junio y, el 26 de junio, confirmó que el incidente había involucrado información asociada a algunos destinatarios.
Según el documento presentado ante la SEC, se observó un comportamiento anómalo procedente del dispositivo de uso personal del socio, una parte no autorizada utilizó la cuenta del socio para acceder a información y parte de esa información se transfirió fuera de los sistemas del socio. No se encontró código malicioso ni se detectaron interrupciones del servicio en los sistemas de HealthEquity. La empresa afirmó que había desactivado cuentas y sesiones, bloqueado direcciones IP y exigido un restablecimiento de contraseñas en toda la organización del proveedor.
La cifra de aproximadamente 4,3 millones de personas potencialmente afectadas corresponde a la población destinataria de las notificaciones, no a cuentas, registros locales, correos electrónicos ni contraseñas. El ejemplo principal de notificación enumera nombres, direcciones, números de teléfono, identificadores de empleado, empleadores, números del Seguro Social, información general de contacto de las personas a cargo y cierta información de tarjetas de pago, excluidos los números de las tarjetas de pago y la información de las tarjetas de débito de HealthEquity. Los campos variaban según el destinatario; para confirmar la inclusión de diagnósticos, recetas, tipos de servicios y números de planes de salud, se requieren pruebas por separado en las notificaciones específicas de cada cliente.
No existe localmente ningún conjunto de datos desglosado por persona. El incidente no vincula a ninguna persona con una cuenta de HealthEquity o WageWorks, con la condición de empleado, afiliado o persona a cargo, con un empleador concreto, con una afección médica ni con información de pago. Los datos del Seguro Social y los datos sobre las personas a cargo, el empleador, la salud y los pagos deben mantenerse privados, y solo los destinatarios directos deben tomar como referencia los campos y las condiciones de servicio que figuran en sus propias notificaciones.
Método de verificación y revisión editorial
LeakData compara el nombre del incidente, la fecha, la cantidad de registros afectados y los tipos de datos expuestos con fuentes accesibles. Los campos no verificados no se presentan como hechos, y los registros se actualizan cuando se dispone de nuevas pruebas.
Notificar errores u omisiones en la información
