Presunta exposición de datos de PlexusMD

La combinación de nombre, correo electrónico, nombre de usuario, fecha de nacimiento, dirección IP y hash de contraseña en plataformas para profesionales sanitarios aumenta el riesgo para la identidad y el perfil profesional. El hash de contraseña no es texto sin cifrar; sin embargo, puede permitir recuperar la contraseña si esta es débil o el algoritmo utilizado es antiguo. La fecha de nacimiento puede utilizarse en procesos de recuperación de cuentas o de ingeniería social. El contexto sanitario y profesional hace más convincentes las ofertas de empleo, los certificados de formación, las invitaciones a congresos o los mensajes de verificación de cuentas de comunidades médicas que sean falsos. Si el usuario ha utilizado la misma contraseña en cuentas hospitalarias, académicas o de correo electrónico, el riesgo aumenta.

Este registro aparece en listas de datos abiertas con cifras y campos similares; sin embargo, el indicador de verificación de LeakData está desactivado porque no hay una notificación directa de la empresa. El alcance corresponde a un número aproximado de filas y no debe interpretarse como el número de personas únicas. Es posible que no todos los campos estén presentes en cada fila. No se han incluido en la descripción historiales de pacientes, notas clínicas, documentos de habilitación profesional ni campos de tarjetas de pago; este registro se ha evaluado únicamente a partir de los campos de cuentas y perfiles de usuario. Su carácter sensible deriva de la combinación del contexto profesional sanitario con los campos de identidad. Se ofrecen al usuario medidas de protección concretas en lugar de afirmaciones concluyentes.

Entre los usuarios en riesgo se encuentran los médicos que han creado una cuenta en PlexusMD, los estudiantes de medicina, el personal sanitario, las personas que buscan empleo y quienes acceden a contenidos de formación médica. Los profesionales sanitarios que utilizan un correo electrónico corporativo corren un mayor riesgo; los atacantes pueden enviar anuncios de empleo, invitaciones a congresos, certificados CME, solicitudes hospitalarias o mensajes de verificación de cuentas falsos. La fecha de nacimiento y el nombre permiten personalizar estos mensajes. La dirección IP también puede ayudar a dirigirlos a una región aproximada. Por la reputación de la profesión sanitaria, los usuarios pueden sentirse inclinados a responder rápidamente a ofertas profesionales falsas.

Los usuarios para los que se detecte una coincidencia no deben utilizar la contraseña de su cuenta de PlexusMD en otras cuentas de salud, formación, hospitales, correo electrónico o redes sociales. Si se utiliza la misma contraseña en cuentas corporativas, debe informarse al equipo de seguridad de la institución. Debe activarse la autenticación multifactor y revisarse las sesiones que no se reconozcan. Las ofertas de empleo, los congresos, los certificados o los mensajes de actualización de cuentas que puedan ser falsos deben verificarse a través de los canales oficiales de la institución. Los formularios que soliciten la fecha de nacimiento o información profesional deben examinarse con cuidado, y no se debe responder a solicitudes de carga de documentos sin una verificación independiente.

A largo plazo, conviene utilizar contraseñas únicas, direcciones de correo electrónico separadas y compartir la mínima información posible en los perfiles de las plataformas sanitarias y de desarrollo profesional. Las instituciones sanitarias deben establecer políticas para que sus empleados no reutilicen las contraseñas institucionales en sitios de empleo de terceros. Las plataformas deben ofrecer métodos modernos de hashing de contraseñas, reducir el número de cuentas antiguas, limitar los plazos de conservación de los datos IP y poner a disposición de los usuarios opciones para eliminar sus datos. Dado que la identidad médica y la información profesional pueden utilizarse para generar confianza en un fraude, los usuarios deben acostumbrarse a verificar las oportunidades de empleo y formación a través de canales oficiales.

La comprobación de LeakData muestra si su dirección de correo electrónico coincide con su registro en PlexusMD. Si hay una coincidencia, cambie esa contraseña en todas las cuentas en las que la haya reutilizado y active una verificación adicional en sus cuentas de correo electrónico y corporativas. Verifique por un canal independiente los mensajes inesperados sobre empleo, formación o certificación relacionados con la profesión sanitaria. La ausencia de coincidencias puede dejar fuera perfiles antiguos creados con una dirección de correo electrónico distinta. Aunque este registro no se ha confirmado mediante una notificación oficial, debe considerarse sensible por el contexto profesional sanitario, la fecha de nacimiento y el campo de contraseña.