Filtración de datos de Specialty Networks de 2023 (411 037 personas)

La empresa detectó actividad inusual en su red el 18 de diciembre de 2023, protegió sus sistemas e inició una investigación con un equipo externo de análisis forense digital. La investigación determinó que un actor no autorizado había obtenido ciertos datos almacenados en los sistemas de la empresa en torno al 11 de diciembre.

Specialty Networks terminó de revisar los archivos afectados el 31 de mayo de 2024 y determinó que el incidente podría haber involucrado datos personales o información médica protegida. Informó a los proveedores de atención médica el 12 de junio y coordinó los preparativos para las notificaciones individuales en torno al 24 de junio. No se divulgaron públicamente el método de acceso inicial, la vulnerabilidad explotada ni la identidad del actor.

La información variaba de una persona a otra. Entre los tipos de datos mencionados figuraban nombres, fechas de nacimiento, números de licencia de conducir, números de la Seguridad Social, números de historia clínica, información sobre tratamientos y afecciones, diagnósticos, medicamentos e información del seguro médico.

No todos los datos enumerados se vieron afectados en el caso de cada persona. Los destinatarios deben guiarse por las categorías de datos indicadas en su propia notificación y no dar por hecho que todos los elementos de la lista general se aplican a su caso.

Según el Departamento de Salud y Servicios Humanos de Estados Unidos, el incidente afectó a 411 037 pacientes actuales y antiguos. HHS clasificó a Specialty Networks como socio comercial y registró el suceso como un incidente de intrusión informática o de TI que afectó a un servidor de red.

Un número de la Seguridad Social combinado con una fecha de nacimiento o con datos de la licencia de conducir puede aumentar el riesgo de robo de identidad, solicitudes de crédito fraudulentas y toma de control de cuentas. La información de la historia clínica y del seguro también puede utilizarse para presentar reclamaciones fraudulentas por servicios médicos o cometer fraude de seguros.

La exposición de información sobre diagnósticos, tratamientos y medicamentos puede suponer una pérdida adicional de privacidad. Un atacante podría hacerse pasar por un proveedor de atención médica, una aseguradora o un portal de pacientes y utilizar detalles específicos de la persona para hacer más convincentes los mensajes de phishing.

La empresa declaró que protegió su red, trabajó con especialistas forenses, implantó medidas de protección adicionales y denunció el incidente ante el FBI. A las personas afectadas se les ofrecieron servicios de IDX de monitoreo del historial crediticio y de la web oscura, asistencia para recuperar la identidad y un seguro contra el robo de identidad.

Los destinatarios pueden utilizar el código de inscripción de su carta para activar el servicio gratuito de IDX antes de que venza el plazo. Conviene revisar los informes crediticios con regularidad; puede ser apropiado solicitar un congelamiento del crédito o una alerta de fraude, y cualquier actividad financiera que no se reconozca debe comunicarse directamente a la entidad correspondiente.

Se deben revisar los documentos explicativos del seguro médico, la actividad del portal de pacientes y las facturas médicas para detectar servicios que no se hayan recibido. Las solicitudes inesperadas que afirmen proceder de Specialty Networks, de un proveedor de atención médica, de IDX o de una aseguradora deben verificarse por un canal de contacto independiente antes de abrir enlaces o compartir contraseñas, códigos de verificación o datos de identidad.