Filtración de datos de Norton Healthcare de 2023

Las notificaciones verificadas describen los siguientes tipos de datos en riesgo: nombre, datos de contacto, número de la Seguridad Social, fecha de nacimiento, información de salud, información de seguros y número de identificación médica. Algunos archivos también pueden contener números de permisos de conducir u otros documentos de identidad oficiales, números de cuentas financieras y firmas digitales. No se ha afirmado que todos estos campos estén presentes para cada persona; los tipos de datos afectados pueden variar de una persona a otra.

Esta combinación de datos supone un riesgo especialmente elevado de suplantación de identidad, solicitudes fraudulentas de prestaciones sanitarias, fraude de seguros, ataques dirigidos a cuentas financieras e ingeniería social personalizada. El número de la Seguridad Social y la fecha de nacimiento son datos de identidad permanentes; una vez expuestos, un simple cambio de contraseña no elimina por completo el riesgo. Por su parte, la información de salud y de seguros puede permitir a los atacantes crear situaciones más convincentes relacionadas con la atención al paciente, la facturación, las citas, los resultados de laboratorio, las autorizaciones de seguros o los reembolsos para ganarse la confianza de la persona.

Las fechas verificadas de la filtración abarcan del 7 de mayo de 2023 al 9 de mayo de 2023; la fecha de detección registrada es el 9 de mayo de 2023. La notificación al organismo regulador indica un total de 2 500 000 personas afectadas. Esta cifra constituye la base del número de personas afectadas que figura en este registro. El incidente se ha descrito como una brecha de seguridad en un sistema externo y un ataque de ransomware. La empresa informó de que, tras el incidente, colaboró con expertos externos en seguridad para poner fin al acceso no autorizado y reforzó sus medidas de seguridad.

Este registro no presenta el sistema de historias clínicas ni el portal de pacientes como directamente comprometidos, ya que el aviso oficial afirma que no se accedió a estos sistemas. Del mismo modo, no se presupone que hubiera números de cuentas financieras, firmas digitales o documentos de identidad oficiales de todas las personas afectadas. Estos datos se consideran únicamente categorías de riesgo adicionales que podrían haberse visto afectadas en algunos casos. Así, el registro refleja tanto la magnitud de la filtración como sus límites verificados, sin exageraciones.

Los principales grupos en riesgo son los pacientes de Norton Healthcare, sus empleados y exempleados, las personas a cargo de los empleados y los beneficiarios. Las notificaciones indicaron que los archivos contenían principalmente información de pacientes, empleados y personas a su cargo. Por tanto, pueden verse afectadas no solo las personas con una cuenta de paciente activa, sino también quienes recibieron servicios sanitarios anteriormente, quienes figuran en los registros de empleados o quienes están incluidos en el sistema como familiares de un empleado.

Como también existe un modelo de notificación relativo a menores, los riesgos para la identidad de los niños son especialmente importantes. Los números de la Seguridad Social o los datos de identidad de los niños pueden utilizarse indebidamente durante mucho tiempo sin que se detecte, porque su historial crediticio y su actividad financiera se supervisan con menos atención que los de los adultos. En el caso de los empleados y exempleados, pueden producirse intentos de fraude dirigidos a ellos mediante información sobre salarios, prestaciones laborales complementarias, seguros y personas a su cargo.

Las personas que puedan estar afectadas deben comprobar primero qué datos figuran en la notificación que reciban. Si se incluyen el número de la Seguridad Social, la fecha de nacimiento, un documento de identidad oficial o un número de cuenta financiera, deben considerar seriamente medidas de protección como el bloqueo del expediente crediticio, las alertas de fraude y la supervisión de la actividad de las cuentas. Conviene revisar periódicamente los estados de cuenta del seguro de salud, los registros de facturación médica y la correspondencia de los proveedores de servicios sanitarios.

Las llamadas telefónicas, los correos electrónicos, los mensajes de texto o las solicitudes por correo postal que lleguen de forma inesperada deben tratarse con cautela. Si se solicita un número de la Seguridad Social, información bancaria, un código de verificación o una contraseña de cuenta con el pretexto de prestar servicios sanitarios, gestionar seguros, corregir la facturación, verificar la identidad u ofrecer servicios de protección gratuitos, no se debe compartir esa información. Para comunicarse con la institución, los usuarios deben utilizar los canales verificados que figuren en las notificaciones o en el sitio web oficial y no confiar sin más en los enlaces recibidos.

Para las organizaciones sanitarias, este incidente demuestra que los dispositivos de almacenamiento en red deben protegerse con el mismo nivel de exigencia que el portal de pacientes. Aunque el sistema principal de historias clínicas no se vea comprometido, las áreas de archivos compartidos, los archivos históricos, los documentos de recursos humanos y los registros de seguros pueden contener grandes volúmenes de datos sensibles. Por ello, resultan imprescindibles la minimización de datos, el control de acceso a nivel de archivo, la segmentación de la red, la verificación periódica de las copias de seguridad, la supervisión del comportamiento y las capas de seguridad independientes para las áreas de archivos de alto riesgo.

La protección a largo plazo de los usuarios no debe considerarse limitada a un servicio de supervisión de dos años. Los números de la Seguridad Social, las fechas de nacimiento y la información de salud son datos permanentes; pueden utilizarse años después para presentar solicitudes fraudulentas, recuperar cuentas o cometer fraude con seguros de salud. Las personas afectadas deben seguir revisando periódicamente sus informes crediticios, los estados de cuenta de sus seguros de salud, las cartas de reclamación de deudas inesperadas y las notificaciones de cambio de dirección.

Este registro de LeakData se ha elaborado para presentar de forma comprensible la fecha verificada de la filtración de Norton Healthcare de 2023, el número total de personas afectadas y los tipos de datos expuestos. Que este registro aparezca al comprobar un correo electrónico o un dominio no demuestra por sí solo qué datos de una persona se vieron afectados; sin embargo, indica que quienes tengan una relación con Norton Healthcare como pacientes, empleados, exempleados, personas a cargo de empleados o beneficiarios deben revisar las notificaciones con atención.

Cuando los usuarios vean este registro, deben evaluar primero su propia relación con los servicios sanitarios de la entidad y su vínculo como empleados o personas a cargo de empleados, y después supervisar la actividad relacionada con su identidad, su crédito, su seguro de salud y sus cuentas financieras. Si detectan una factura médica, una operación del seguro, una solicitud de crédito o un cambio en una cuenta que resulte sospechoso, deben ponerse en contacto directamente con la institución correspondiente a través de un canal independiente. El registro se ha clasificado como de alta sensibilidad porque implica riesgos relacionados con datos de identidad, información de salud, información de seguros y, en el caso de algunas personas, cuentas financieras o documentos de identidad oficiales.