Los atacantes accedieron a archivos confidenciales durante cinco días y la investigación reveló el alcance de la filtración.
Unlimited Technology Systems, una compañía que ofrece soluciones de software a miles clínicas y centros médicos, confirmó que fue víctima de un ataque que derivó en la filtración de datos de más de 3,8 millones de pacientes.
Según Bleeping Computer, el incidente —la intrusión— ocurrió en octubre del año pasado y recientemente la empresa presentó las muestras a las autoridades, con detalles de la filtración posterior. La cantidad exacta de afectados —3.803.750— fue informada a través de una publicación del Departamento de Salud y Servicios Humanos de Estados Unidos (HHS, por sus siglas en inglés).
¿Qué información quedó expuesta en el ataque a Unlimited Technology Systems?
La actividad no autorizada en el centro de datos comercial de la firma fue detectada en octubre y una investigación posterior reveló que los ciberdelincuentes accedieron a archivos confidenciales durante un período de cinco días.
El incidente no es trivial, si se considera la gran cantidad de centros de salud que usan los servicios de Unlimited Technology Systems. Esta compañía ofrece softwares de gestión financiera a más de 4.500 clínicas y 6.500 proveedores de atención médica en Estados Unidos.
De acuerdo a la fuente, los tipos de datos que potencialmente quedaron expuestos en este incidente incluyen:
- Nombres completos de pacientes.
- Números de teléfono.
- Fechas de nacimiento.
- Números de la seguridad social.
- Direcciones de correo electrónico y postal.
- Información demográfica.
- Escaneos de licencias de conducir y otras identificaciones.
- Tarjetas de seguro médico.
- Formularios de admisión.
- Números de póliza de seguro médico.
- Reclamos realizados por pacientes.
- Historiales clínico y detalles de diagnóstico.
Las vulneraciones en empresas y organizaciones del sector sanitario son frecuentes, en función de la sensibilidad de los datos que gestionan y del alto nivel de criticidad de sus actividades.
En muchos casos, los atacantes extorsionan a sus víctimas solicitando el pago de un rescate —transferencias, usualmente en criptomonedas— para liberar los sistemas y no divulgar la información robada.
Al momento de la publicación de este repaso, ningún grupo de ransomware (secuestro de datos) se atribuyó la intrusión en los sistemas de Unlimited Technology Systems. Por lo demás, la firma aún no identificó a los atacantes.
