Filtración de datos de MMG Fusion de 2020

Las categorías de datos confirmadas en este incidente son citas, fechas de nacimiento, direcciones de correo electrónico, géneros, estados civiles, nombres, contraseñas, números de teléfono y direcciones físicas. La información sobre citas puede aportar un contexto sensible sobre el período en que una persona recibió atención médica o la clínica donde fue atendida. Cuando los campos de correo electrónico, teléfono y dirección física aparecen juntos, los mensajes fraudulentos que simulan notificaciones de clínicas, confirmaciones de citas, recordatorios de pago o actualizaciones de documentos pueden resultar más convincentes. Campos como la fecha de nacimiento y el estado civil generan un riesgo adicional en las preguntas de autenticación o en los intentos de vincular perfiles.

Según lo informado, el campo de contraseña contiene hashes bcrypt en un pequeño grupo de registros. No se afirma que las contraseñas estén en texto plano; aun así, persiste el riesgo asociado a las contraseñas débiles o reutilizadas. Si un usuario utilizó la misma contraseña en su correo electrónico, portal de pacientes, redes sociales u otras cuentas de servicios de salud, una filtración antigua podría afectar a sus cuentas actuales. Debido al contexto de las citas de atención médica, los atacantes podrían no limitarse a intentar iniciar sesión en las cuentas: también podrían utilizar información de contacto real para elaborar mensajes que parezcan proceder de líneas de atención al paciente, centros de citas o áreas de seguros.

Se toma el 20 de diciembre de 2020 como fecha verificada del incidente y el 7 de agosto de 2021 como fecha de incorporación del registro y de modificación de la fuente. El número de direcciones de correo electrónico únicas es de 2 660 295. Las categorías de datos se limitan a información sobre citas, fechas de nacimiento, direcciones de correo electrónico, géneros, estados civiles, nombres, hashes bcrypt de contraseñas, números de teléfono y direcciones físicas. En este registro, los números de seguridad social, los datos de tarjetas de pago y cuentas bancarias, los diagnósticos detallados, las recetas, los resultados de laboratorio y los expedientes clínicos completos no figuran entre las categorías de datos verificadas.

Es importante interpretar correctamente el alcance. Una coincidencia no indica que se haya expuesto todo el historial médico del usuario; sin embargo, la presencia conjunta de datos sobre citas y comunicaciones es suficientemente grave desde el punto de vista de la privacidad de la información de salud. La empresa presta servicios de gestión de consultas odontológicas; por tanto, el registro debe clasificarse como un sistema de citas odontológicas y comunicación con pacientes, no como un sitio tecnológico general. El riesgo relacionado con las contraseñas también se ha señalado únicamente en un pequeño grupo de registros; aun así, se recomienda tomar medidas de seguridad ante la posibilidad de que las contraseñas se hayan reutilizado en otras cuentas.

Entre los grupos de mayor riesgo se encuentran los pacientes que utilizan MMG Fusion y están vinculados a servicios odontológicos o clínicos, las personas cuya información sobre citas está incluida y los usuarios que utilizan la misma dirección de correo electrónico en sus cuentas de servicios de salud. Los usuarios cuyos datos incluyen nombre, número de teléfono, dirección y fecha de nacimiento pueden recibir mensajes fraudulentos sobre citas, supuestas deudas con clínicas o seguros. Campos como el género y el estado civil pueden ayudar a que los mensajes personalizados parezcan más convincentes. Esta información no puede cambiarse tan rápidamente como los datos de una tarjeta de pago, por lo que puede tener efectos duraderos sobre la privacidad.

El personal de las clínicas odontológicas, los pacientes que se comunican con frecuencia con el centro de citas y las personas que utilizan la misma dirección de correo electrónico para gestionar citas de familiares también deben tener cuidado. Los atacantes pueden llamar a una persona utilizando su número de teléfono y dirección reales para solicitar una confirmación de cita, que complete documentos o que siga instrucciones de pago. Existe un riesgo adicional para las personas incluidas en el pequeño grupo de registros que contiene hashes de contraseñas: si la misma contraseña sigue siendo válida en otros servicios, la seguridad de sus cuentas puede verse afectada. Por ello, quien obtenga una coincidencia positiva debe tener en cuenta tanto el fraude en las comunicaciones como la reutilización de contraseñas.

Si encuentra una coincidencia en este registro, ante todo debe desconfiar de los correos electrónicos, SMS y llamadas inesperados relacionados con citas y clínicas. Aunque el mensaje contenga un nombre, número de teléfono, dirección o contexto de cita reales, no debe considerarlo fiable. Las confirmaciones de citas, notificaciones de pago, actualizaciones de documentos o mensajes sobre formularios de pacientes que contengan enlaces deben verificarse directamente a través de una dirección conocida de la clínica o del servicio. Si recibe solicitudes por teléfono, no comparta su fecha de nacimiento, códigos de verificación, datos de tarjetas ni contraseñas.

Utilice una contraseña única en cada cuenta que requiera una. Si ha utilizado la contraseña de su cuenta vinculada a MMG Fusion en otros servicios, comience por cambiar las contraseñas de su correo electrónico y de sus cuentas más importantes. Active la autenticación multifactor en los servicios que la admitan, cierre las sesiones activas y revise el correo electrónico y el número de teléfono de recuperación. Proteja especialmente su cuenta de correo electrónico, ya que suele recibir las notificaciones de citas médicas y los mensajes de recuperación de cuentas.

En las filtraciones que incluyen datos de citas médicas y comunicaciones, el riesgo a largo plazo es que esos datos se utilicen en mensajes fraudulentos incluso años después. Utilice contraseñas únicas en sus cuentas de salud, compras, redes sociales y correo electrónico; comparta su teléfono y dirección solo con los servicios que los necesiten. Dé preferencia a la autenticación multifactor en los portales de pacientes y los canales de comunicación con clínicas, y revise periódicamente las cuentas antiguas de gestión de citas. Reduzca al mínimo los datos personales y la información de contacto registrada en las cuentas que ya no utilice.

Desde la perspectiva de las instituciones, este incidente demuestra la importancia del inventario de datos, el control de acceso y la calidad del almacenamiento de contraseñas en los sistemas de citas odontológicas y médicas. Los registros de citas no son solo información de calendario: al combinarse con la identidad del paciente, los canales de comunicación y el contexto de la atención médica, adquieren un carácter sensible. Para los usuarios, mantener la protección a lo largo del tiempo implica proteger con firmeza su cuenta de correo electrónico, estar alerta ante las estafas telefónicas, verificar los mensajes de las clínicas por un canal independiente y eliminar por completo la reutilización de contraseñas.

Una coincidencia en este registro indica que la dirección de correo electrónico figura entre las direcciones verificadas del conjunto de datos de MMG Fusion. Una coincidencia no demuestra que el número de seguridad social, los datos de tarjetas de pago, el expediente médico completo o la información detallada de diagnósticos estén presentes en este conjunto de datos. Los campos verificados son información sobre citas, fecha de nacimiento, correo electrónico, género, estado civil, nombre, teléfono, dirección física y hashes bcrypt de contraseñas en un pequeño grupo de registros. Debe interpretar correctamente esta limitación y prestar atención tanto al riesgo en las comunicaciones relacionadas con la salud como a la reutilización de contraseñas.

El primer paso es identificar las cuentas que utilizan el mismo correo electrónico y patrones de contraseña similares. Después, establezca contraseñas únicas para su cuenta de correo electrónico, portales de pacientes, cuentas de servicios de salud y redes sociales, active la autenticación multifactor y revise las sesiones activas. Verifique por un canal independiente los enlaces de los mensajes relacionados con citas, clínicas, seguros o pagos. Este registro presenta los campos de datos verificados sin exageraciones y ofrece medidas prácticas para proteger la privacidad de la información de salud, reforzar la seguridad de las comunicaciones y gestionar las contraseñas.