Filtración de datos de Summit Pathology 2024

En el incidente de Summit Pathology, la notificación menciona una amplia variedad de tipos de datos. Los sistemas afectados podrían contener nombres y apellidos, direcciones, fechas de nacimiento, números de la Seguridad Social, información financiera, información del seguro de salud, datos de facturación médica y determinada información médica. Esta última podría incluir registros relacionados con los servicios de anatomía patológica, como información sobre diagnósticos. La presencia de información demográfica junto con información financiera y del seguro de salud en el mismo conjunto de archivos indica que el incidente no puede considerarse una mera filtración de datos de contacto.

Esta combinación de datos genera riesgos en varios ámbitos. Los números de la Seguridad Social y las fechas de nacimiento siguen siendo útiles a largo plazo para el robo de identidad, las solicitudes de crédito, el fraude fiscal y el uso indebido de los procesos de recuperación de cuentas. La información del seguro de salud y de facturación puede utilizarse para crear facturas médicas falsas, cometer fraudes contra aseguradoras y suplantar a pacientes en sus cuentas. Los registros que contienen información sobre diagnósticos o servicios médicos pueden afectar a la privacidad de la información de salud de una persona y hacer más convincentes los mensajes de ingeniería social dirigidos específicamente a ella. Por tanto, las personas afectadas deben vigilar no solo sus cuentas de crédito, sino también los movimientos relacionados con su seguro de salud y su facturación como pacientes.

La fecha verificada de inicio y detección del incidente se sitúa alrededor del 18 de abril de 2024. La notificación indica que la empresa protegió su red tras observar actividad sospechosa, colaboró con expertos en la investigación y determinó que una parte no autorizada podría haber accedido a algunos archivos o haberse llevado una copia de ellos. La fecha de notificación figura como el 18 de octubre de 2024; esta fecha indica cuándo se comunicó el incidente a los usuarios. En el registro de brechas de datos de salud figuran 1 813 538 personas para Summit Pathology y Summit Pathology Laboratories, Inc., en la categoría de servidor de red e incidente de intrusión informática/TI.

En esta ficha, los campos de datos se han añadido según la lista explícita de la carta de notificación. Como la notificación menciona expresamente la información financiera y el número de la Seguridad Social, se han incluido estos campos. En cambio, la contraseña de la cuenta de usuario, el número de tarjeta, el número de pasaporte y los detalles del sistema de historias clínicas electrónicas no se han añadido a las categorías de datos, porque no figuran expresamente en la notificación oficial. No se ha supuesto que los archivos contengan los mismos campos para todas las personas, ya que la notificación indica que los tipos de datos podrían variar según cada individuo.

El principal grupo en riesgo está formado por los pacientes que reciben servicios de anatomía patológica de Summit Pathology y por las personas cuya información se encuentra en los sistemas del laboratorio para prestar estos servicios. La empresa afirma que ofrece servicios de anatomía patológica a proveedores de atención médica y que la persona que recibe la notificación podría haberse visto afectada por los servicios de Summit a través de su proveedor de atención médica. Por tanto, aunque la persona no recuerde haber contactado directamente con Summit, sus registros podrían estar incluidos en el alcance del incidente si su médico o centro sanitario recurrió a Summit para servicios de anatomía patológica.

Dado que los datos de los pacientes son especialmente sensibles, el riesgo no se limita al fraude financiero. La combinación de información sobre diagnósticos, registros de facturación, datos del seguro e información de identidad puede utilizarse para preparar facturas de laboratorio falsas, llamadas de supuesta verificación del seguro, suplantaciones de proveedores de atención médica o mensajes de phishing personalizados. Para las personas cuyo número de la Seguridad Social está entre los datos afectados, el riesgo es a largo plazo; quienes tengan información financiera o registros de facturación afectados también deben vigilar los movimientos de sus cuentas y los pagos por atención médica.

El primer paso para quienes reciban la notificación es revisar en la carta qué tipos de datos personales podrían haberse visto afectados. Si se ha visto afectado un número de la Seguridad Social o información financiera, las medidas prioritarias son el bloqueo del crédito, las alertas de fraude y la revisión de los informes de crédito. En el caso de la información del seguro de salud y de facturación, deben revisarse periódicamente los estados de cuenta del seguro, las cuentas de pacientes y las facturas de laboratorio inesperadas. Si se recibe un mensaje sospechoso relacionado con servicios médicos o información sobre diagnósticos, se debe llamar directamente al proveedor de atención médica en lugar de hacer clic en el enlace.

Las personas a las que se hayan ofrecido servicios de protección de identidad deben completar el registro únicamente siguiendo las instrucciones oficiales de la notificación. Estas personas deben establecer contraseñas únicas para los portales de pacientes, las cuentas de correo electrónico y los sistemas de facturación que compartan una misma contraseña, activar la autenticación multifactor y cerrar las sesiones antiguas. Como podría haberse filtrado información que no se puede cambiar, como los números de la Seguridad Social, cambiar la contraseña una sola vez no es suficiente. Deben vigilarse de forma conjunta las actividades relacionadas con el crédito, los impuestos, los seguros y la atención médica.

El incidente de Summit Pathology demuestra lo amplio que puede llegar a ser el riesgo asociado a los datos de salud en manos de terceros cuando los laboratorios y los proveedores de servicios de anatomía patológica gestionan archivos sensibles en nombre de numerosas organizaciones sanitarias. Un paciente puede no conocer directamente al proveedor de laboratorio; sin embargo, sus datos pueden figurar en estos sistemas debido a los procesos de pruebas, diagnóstico o facturación. Por tanto, los pacientes deben prestar atención no solo al portal de su propio médico, sino también a las notificaciones de los laboratorios y proveedores de facturación que utilizan.

Desde la perspectiva de las instituciones, una estrategia a largo plazo consiste en reducir los permisos de acceso a los archivos, no conservar datos antiguos innecesariamente, almacenar los datos de facturación médica en capas de protección separadas y establecer registros de auditoría que permitan detectar de forma temprana movimientos inusuales de archivos. Cuando grandes conjuntos de archivos contienen datos de identidad, salud y facturación, el impacto del incidente se multiplica. Por tanto, después de un incidente, no solo debe llevarse a cabo la limpieza de los sistemas, sino que también deben reevaluarse las políticas de conservación de datos, la segmentación de la red, la formación del personal y los procesos de notificación a terceros.

La ficha de Summit Pathology 2024 en LeakData se ha preparado para ayudar a los usuarios a comprender el alcance real del incidente mientras comprueban si están vinculados a esta importante brecha de datos de salud. La ficha se basa en la fecha del incidente, el 18 de abril de 2024, en la cifra de 1 813 538 personas afectadas y en los tipos de datos que figuran expresamente en la notificación oficial. Las categorías de datos se mantienen como identidad, dirección, fecha de nacimiento, número de la Seguridad Social, información financiera, información del seguro de salud, información de facturación, información médica e información sobre diagnósticos.

Los usuarios que identifiquen esta brecha entre los incidentes que les afectan deben revisar periódicamente sus informes de crédito y los estados de cuenta de su seguro de salud, estar atentos a facturas inesperadas de servicios de anatomía patológica o de laboratorio y actuar con cautela ante mensajes que suplanten a proveedores de atención médica. En los incidentes en los que podrían haberse filtrado conjuntamente información personal e información de salud, el riesgo persiste durante mucho tiempo. Por ello, el registro se ha verificado y marcado como activo y sensible; las medidas que tome el usuario no deben limitarse a cambiar la contraseña.