Las filtraciones de datos tienden a ser asuntos misteriosos en los que las organizaciones que lo sufren ofrecen la mínima información posible y los atacantes permanecen seguros a la sombra.
La filtración de registros médicos de la empresa canadiense CarePartenes, que ofrece servicios sanitarios al gobierno de Ontario, parece que se convertirá en una excepción no deseada a esta norma.
El pasado junio CarePartners informó sobre la filtración simplemente diciendo que datos médicos y financieros de pacientes y empleados habían sido accedidos de manera inapropiada por atacantes, sin especificar ni el tamaño ni extensión de la filtración.
No hubo más noticias hasta que esta semana los atacantes decidieron contactar la Canadian Broadcasting Corporation (CBC) para ofrecer más detalles de lo ocurrido. También informaron que pidieron un rescate a CarePartners para no hacer públicos los datos robados:
Hemos pedido una compensación a cambio de como solucionar sus problemas de seguridad y para que no filtremos los datos online
Para recalcar la amenaza, los atacantes enviaron a la CBC un ejemplo de los datos robados que incluían miles de registros médicos en los que aparecían fechas de nacimiento, números sanitarios, teléfonos y detalles de procedimientos quirúrgicos y tratamientos médicos.
Otros ficheros contenían los datos de tarjetas de crédito completos con sus fechas de vencimiento y códigos de seguridad de 140 pacientes, además de datos de empleados como nóminas, números de la seguridad social, datos bancarios y contraseñas sin cifrar.
La CBC dijo que recibió miles de registros, pero los atacantes afirman que tienen cientos de miles.
Lo preocupante son las discrepancias entre el comunicado de CarePartners sobre la filtración y la información enviada a la CBC.
Según la CBC, CarePartners dijo que su investigación, había identificado que la filtración se correspondía a ficheros pertenecientes a 627 pacientes y 866 empleados, a los que se les había informado sobre el incidente.
Pero los datos que enviaron los ciberdelincuentes contenían nombres e información de contacto de más de 80.000 personas.
Cuando los periodistas de la CBC contactaron a un pequeño grupo de estas personas, ninguno dijo haber sido informado por CarePartners.
Según los atacantes, consiguieron acceder a los datos gracias a que descubrieron un software vulnerable que no había sido actualizado en dos años.
Esta filtración afecta a cientos de miles de canadienses y era completamente evitable. Ningún dato estaba cifrado.
A parte de haber ocurrido una seria filtración de datos, no se puede confirmar ninguno de estos detalles.
Dar publicidad a un rescate es posiblemente un signo de desesperación de los atacantes que va en contra del manual de la extorsión.
La primera regla de la extorsión es mantenerla en secreto en base a que la publicidad puede dificultar que las organizaciones paguen o incluso forzarlas a que informen a la policía.
El hecho que los hackers rompieran esta regla no son buenas noticias. Si han perdido toda esperanza de cobrar, crecen las posibilidades que toda esa información se publique en la web uniéndose a ese océano de datos personales que navegan por los mares más oscuros de la Internet.
Como con cada filtración, los titulares de hoy son el principio de una historia que continuará por muchos años, con consecuencias difíciles de predecir.
Para manteneros al día de las últimas amenazas haceros fans de nuestra página de Facebook o síguenos en Twitter para intercambiar experiencias en torno al mundo de la seguridad. Si deseas recibir nuestro boletín de seguridad en tu correo electrónico, suscríbete en la siguiente aplicación:
Dejar un comentario