Las 10 violaciones de atención médica más comunes en los Estados Unidos revelaron datos de 19 millones

La atención médica fue el objetivo de cientos de ciberataques este año. Una lista de informes de violación de datos públicos muestra que decenas de millones de registros médicos han sido expuestos a personas no autorizadas.

La mayoría de las violaciones de datos más importantes son el resultado de ataques de ransomware, y las diez primeras representan más de la mitad de todos los registros médicos divulgados en 2021.

PII robada o revelada por millones

La regla de presentación de informes de la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA) requiere que las organizaciones de atención médica revelen una infracción si afecta a más de 500 residentes en un estado o jurisdicción.

Los diez eventos cibernéticos más impactantes enumerados en el portal de la Oficina de Derechos Civiles (HHS) del Departamento de Salud de EE. UU. Provienen de incidentes de piratería y revelan datos sobre casi 19 millones de personas.

En la parte superior de la lista reportada este año se encuentra un incidente que tuvo un impacto Corporación Florida Healthy Kids. Los piratas informáticos que explotaron vulnerabilidades no parcheadas en su plataforma de alojamiento de sitios web durante siete años tuvieron acceso a los datos de 3,5 millones de personas.

La segunda mayor filtración de datos sanitarios tuvo un impacto en Red de atención oftalmológica 20/20 en Florida, lo que resultó en la divulgación de información personal de más de 3.2 millones de personas.

Los piratas informáticos obtuvieron acceso a los buckets AWS S3 de la empresa y eliminaron la información. Se ha presentado una demanda colectiva contra 20/20 Eye Care Network.

Otra violación de datos notable proviene de la práctica del grupo de dermatología. Dermatología de vanguardiaquien descubrió que una persona no autorizada tuvo acceso a sus sistemas durante una semana.

El robo reveló información sobre más de 2,41 millones de pacientes, incluidos nombres, direcciones, fechas de nacimiento, tarjetas de membresía del seguro médico y detalles de tratamientos médicos y clínicos.

Ataque de bandas de ransomware

El 19 de febrero de 2021, Redes NEC (CaptureRx) descubrió dos semanas antes que sus sistemas se habían visto comprometidos y los intrusos tenían acceso a los datos de los clientes.

La investigación reveló más tarde que se trataba de un ataque de ransomware que afectó los datos de 1,65 millones de personas.

Un ataque del 4 de agosto comprometió los datos de más de 1,5 millones de personas Salud Eskenazi Departamento del hospital público.

Los piratas informáticos habían estado en la red interna desde el 19 de mayo, preparándose para cifrar la red a pesar de que no pudieron completar la operación, dijo la compañía.

Aunque el actor de la amenaza no cifró los datos, logró robar información personal y de salud de los pacientes dentro de la organización.

La Kröger Co. confirmó una filtración de datos que expuso los registros de 1,47 millones de personas. El incidente fue parte de una campaña de chantaje por parte de la banda de ransomware Clop.

El acceso a los datos corporativos fue posible gracias a la explotación de vulnerabilidades en el servicio heredado File Transfer Appliance de Accellion, que utilizan hasta 100 empresas.

La cadena de supermercados Kroger, también operadora de farmacias, acordó pagar $ 5 millones en nombre de los clientes y empleados cuya información personal fue revelada para poner fin a las reclamaciones en su contra.

También víctima de un ataque de ransomware que San José / Candler El sistema de salud anunció que descubrió el robo el 17 de junio de 2021. Una investigación encontró que los piratas informáticos tenían acceso a la red desde el 18 de diciembre de 2020.

En la red, los atacantes tuvieron acceso a los datos de 1.4 millones de pacientes, incluyendo direcciones, fechas de nacimiento, números de seguro social, números de licencia de conducir, información financiera, tarjetas de membresía de las compañías de seguros de salud, así como información sobre tratamientos médicos y clínicos.

La banda de ransomware REvil tiene los sistemas del Hospital Universitario del Sur de Nevada A mediados de junio, eso salvó los datos de 1,3 millones de personas.

Los datos incluyen información de identificación personal (PII), así como «cierta información de salud patentada» que revela la notificación de un incidente de seguridad de datos de una organización.

Anestesiología americana informó a los pacientes a principios de enero de 2021 que Mednax Services, uno de sus proveedores de servicios, había sufrido un incidente de phishing en el que se revelaron datos personales a personas no autorizadas

El atacante obtuvo acceso al sistema de correo electrónico Microsoft Office 365 del socio a mediados de junio de 2020 y pudo acceder a datos personales de pacientes de American Anesthesiology. En total, se revelaron datos de 1,2 millones de personas.

El último en la lista de las diez mayores violaciones de datos reportadas hasta la fecha en 2021 es Professional Business Systems, Inc., d / b / a. Practica primero Medical Management Solutions y PBS Medcode Corp. («Practicefirst»): un proveedor para varios proveedores de atención médica.

El incidente fue un ataque fallido de ransomware y se conoció a fines de diciembre de 2020. En lugar de cifrar los datos, los piratas informáticos copiaron archivos de la red Practicefirst y expusieron los datos personales de más de 1,2 millones de pacientes y empleados.

Más de 50 incidentes de piratería publicados en el portal del HHS han afectado a más de 100.000 personas, lo que demuestra que las organizaciones sanitarias siguen siendo objetivos atractivos.

Según el HIPAA Journal, casi 45 millones de registros médicos fueron expuestos o robados en 2021.