Brecha de datos de Kootenai Health de 2024

Kootenai Health detectó el 2 de marzo de 2024 una actividad inusual que interrumpió el acceso a ciertos sistemas informáticos, protegió el entorno e inició una investigación con especialistas externos en ciberseguridad. La investigación determinó que una persona desconocida podría haber accedido a ciertos datos de la red en torno al 22 de febrero. La revisión para identificar la información afectada y las direcciones postales actuales concluyó el 1 de agosto, y la organización envió las notificaciones por correo postal el 12 de agosto.

La notificación oficial incluye en su alcance a Kootenai Clinic, Kootenai Outpatient Surgery y Kootenai Outpatient Imaging. La organización declaró que había notificado al FBI, que había implementado medidas de seguridad adicionales, que su capacidad para atender a los pacientes no se había visto afectada y que, a fecha del 12 de agosto, no tenía conocimiento de intentos de uso indebido. Esta última declaración describe únicamente lo que se sabía cuando se emitió la notificación.

La fila de Kootenai Health en la exportación CSV de la lista actualizada de HHS/OCR confirma 464 088 personas, el 24 de abril de 2024 como fecha de presentación, “Ataque informático/incidente de TI” como tipo de brecha y “Servidor de red” como ubicación. Estos son los valores oficiales de la lista federal. Los subconjuntos de residentes que figuran en las notificaciones estatales están incluidos en el total nacional y no se vuelven a sumar.

Para esta entrada no hay ningún proceso de importación local ni ninguna asociación con personas en las colecciones de correos electrónicos, nombres de usuario, contraseñas, datos sensibles o datos generales de brechas. Por tanto, la cifra de 464 088 es el total de personas afectadas comunicado al HHS, no un recuento de registros locales.

Las categorías, que varían según la persona, son nombres, fechas de nacimiento, números de Seguro Social, números de licencia de conducir o de otros documentos de identificación emitidos por organismos públicos, números de historia clínica, información sobre tratamientos y afecciones médicas, diagnósticos médicos, información sobre medicamentos e información sobre seguros de salud. El texto oficial se limita a indicar que estos datos “podrían haberse visto afectados”; no afirma que se haya confirmado la extracción de archivos, que todos los campos correspondieran a todas las personas ni que una cuenta o vulnerabilidad concreta permitiera el acceso inicial.

Las personas cuyos datos de identidad se vieron afectados pueden revisar los informes crediticios, las cuentas nuevas y los cambios de dirección. Aquellas cuyos datos de salud o seguros se vieron afectados pueden revisar las historias clínicas, la actividad del portal del paciente, los tratamientos o medicamentos que no reconozcan, las facturas y las explicaciones de beneficios. La organización ofreció servicios de protección de identidad de IDX; la fecha límite de inscripción del 7 de noviembre de 2024 que figura en el modelo de carta de Massachusetts ya ha pasado. Para solicitar asistencia actual o consultar los requisitos de acceso a estos servicios, se debe utilizar un canal verificado a través de kh.org.

La página del incidente ya no está publicada en el sitio actual de Kootenai Health, por lo que las fuentes utilizan una copia de la notificación oficial del 12 de agosto de 2024 conservada en un archivo web; el dominio principal kh.org sigue activo. No se debe confiar en un mensaje inesperado que utilice el nombre de Kootenai Health o IDX solo porque contenga datos personales correctos, y quienes lo reciban no deben proporcionar un número de Seguro Social completo, una contraseña, un pago ni un código de un solo uso.