Filtración de datos de Longhorn Imaging Center (2023)

En la evaluación de verificación se consideraron conjuntamente el nombre Longhorn Imaging Center, el dominio longhornimaging.com, el contexto de los servicios sanitarios de Texas, la fecha del incidente en junio de 2023, la notificación oficial relativa a 100 643 personas y los campos de datos de salud a los que se podría haber accedido a través del portal de pacientes. Aunque algunos directorios de filtraciones afirmaban que había aproximadamente 272 000 filas de registros, esa cifra no se utilizó directamente como número de personas afectadas sin duplicados. Se utilizó una cifra más conservadora de 100 643 personas afectadas, cercana a la notificación oficial. La explicación se limitó para evitar confundir el volumen total de registros con el número de personas afectadas.

La filtración de datos de Longhorn Imaging Center genera riesgos para los usuarios en materia de privacidad de los datos de salud, autenticación y fraude dirigido. Al combinar el nombre, la fecha de nacimiento, el género, la dirección y el contexto de la atención sanitaria, los atacantes pueden elaborar mensajes sobre citas, resultados de pruebas de diagnóstico por imagen, verificación del seguro, facturación, actualizaciones del portal de pacientes o intercambio de documentos. Como los usuarios de servicios sanitarios ya esperan recibir notificaciones sobre citas y documentos, estos mensajes pueden resultar más convincentes. Por ello, el incidente debe evaluarse no solo como un riesgo relacionado con los datos de contacto, sino también como un riesgo para la privacidad de los datos de salud y de ingeniería social.

En este incidente, las categorías de datos visibles se consideran sensibles porque el contexto sanitario puede aportar información indirecta sobre el tratamiento de una persona, su relación con una institución o los trámites de su seguro. La ficha no se amplió como si incluyera enfermedades concretas, resultados de pruebas de diagnóstico por imagen o contenido clínico detallado. Sin embargo, la mera presencia de campos de información de salud y del seguro proporciona suficiente contexto para el phishing y el fraude. Si recibe una llamada de alguien que conoce correctamente su nombre, fecha de nacimiento, dirección o información sobre su institución sanitaria, no confíe automáticamente en esa persona y verifique cada solicitud por un canal independiente.

Si pudiera tener alguna relación con Longhorn Imaging Center, revise si hay notificaciones inusuales en los portales de pacientes, el correo electrónico, el seguro y las cuentas financieras. Verifique directamente, a través de canales oficiales conocidos, cualquier factura inesperada, actualización del seguro, confirmación de cita, resultado de pruebas de diagnóstico por imagen, descarga de documentos o enlace para restablecer la contraseña del portal de pacientes. No comparta códigos de un solo uso, documentos de identidad, información de pago ni números del seguro si se los solicitan por teléfono. Ante mensajes que parezcan proceder de un proveedor de servicios sanitarios, utilice la dirección o el número de teléfono conocidos de la institución en lugar de los enlaces del mensaje.

Desde la perspectiva de las instituciones, la filtración de datos de Longhorn Imaging Center pone de relieve la necesidad de controles adicionales para el acceso al portal de pacientes y a tecnologías sanitarias de terceros. Cuando se consideran comprometidos datos como el nombre del paciente, la fecha de nacimiento, la dirección y la información del seguro, no es seguro verificar la identidad únicamente con esa información. Las instituciones sanitarias deben implementar autenticación multifactor, supervisión de sesiones y auditorías de comportamientos sospechosos en procesos como el acceso al portal, la descarga de documentos, el pago de facturas, la verificación del seguro y los cambios en la información de contacto de los pacientes. Se debe informar a los empleados de que los mensajes de ingeniería social relacionados con la salud pueden ser muy persuasivos.

En la ficha de la filtración de datos de Longhorn Imaging Center, el alcance se limitó deliberadamente a los aspectos respaldados por las fuentes. Se mantuvo la cifra de 100 643 personas afectadas; los recuentos de filas más elevados que aparecían en distintas fuentes no se registraron como número de usuarios. La ficha no se amplió como si incluyera números de tarjetas de pago, cuentas bancarias, contraseñas o números de la seguridad social. Aun así, la combinación de nombre y apellidos, fecha de nacimiento, dirección, información de salud e información del seguro es altamente sensible. Incluso un volumen reducido de registros de datos de salud puede tener consecuencias más graves que grandes listas de datos de contacto.

El nivel de riesgo general se ha evaluado como crítico porque la filtración de datos de Longhorn Imaging Center combina las relaciones con servicios sanitarios con información de identidad y seguros. Si busca información sobre esta filtración, las medidas más prácticas son consultar directamente el portal oficial de pacientes, verificar de forma independiente los mensajes inesperados sobre salud y seguros, activar mecanismos de verificación adicionales en su cuenta de correo electrónico, tratar con cautela los enlaces que solicitan pagos o documentos y no considerar fiables las búsquedas que parten de información de salud. Este aviso se ha elaborado para informar sobre la privacidad de los datos de salud sin exagerar el riesgo, pero tampoco minimizarlo.

En la comparación adicional de fuentes, se volvió a añadir el campo de género del paciente a las categorías de datos, ya que también está respaldado en el contexto de los registros de salud. Detalles como la fecha del tratamiento, el nombre de la institución o el nombre del médico no se incorporaron como categorías independientes, sino que se evaluaron dentro de los datos personales de salud que explican el contexto del servicio sanitario. De este modo, la ficha mantiene el número de personas afectadas respaldado por las notificaciones oficiales y muestra con mayor precisión el alcance de los campos de datos filtrados, sin inducir a error al usuario.