7.7 millones de clientes de LabCorp fueron potencialmente afectados por una violación masiva de datos

Muchas personas estaban preocupadas cuando Laboratory Corporation of America Holdings (más conocido como LabCorp) anunció que había sufrido un ciberataque el 16 de julio de 2018. Esto no es terriblemente sorprendente. Después de todo, estamos hablando de una organización mundial que realiza una variedad de pruebas clínicas en docenas de países, lo que significa que es responsable de la información relacionada con la salud de millones de pacientes.

Un par de días después, esos pacientes dieron un suspiro de alivio cuando se hizo evidente que sus datos no habían sido expuestos. Resultó que la cadena de laboratorios había sido atacada por operadores de ransomware que no estaban interesados en robar ninguna información. Muchos sistemas se vieron afectados, pero LabCorp finalmente logró reconstruir su infraestructura y todo volvió a la normalidad. El martes, LabCorp anunció que su nombre ha estado involucrado en otro ataque cibernético y, desafortunadamente, esta vez, los datos de las personas se vieron comprometidos.

Clientes de LabCorp afectados por una violación de datos que no ocurrió en LabCorp

La noticia se supo cuando LabCorp presentó un formulario 8-K ante la Comisión de Bolsa y Valores de EE. UU. Que decía que una empresa de cobranza médica conocida como la Agencia Americana de Cobro Médica (AMCA) había sido atacada por piratas informáticos. LabCorp, como muchas otras organizaciones, había contratado a AMCA para recaudar parte del dinero que se le debía y le había dado a la agencia información que pertenecía a los clientes de LabCorp. Desafortunadamente, alrededor del 1 de agosto de 2018, los piratas informáticos lograron comprometer la página de pago de AMCA y comenzaron a robar los datos de las personas. El 30 de marzo de 2019, el sistema finalmente se aseguró y el ataque terminó.

¿Cuál fue la naturaleza de la información que fue robada?

Se filtraron muchos detalles durante el ataque. LabCorp admitió que los datos incluían nombres, direcciones, fechas de nacimiento, números de teléfono e información sobre el monto adeudado. Afortunadamente, LabCorp no ha compartido ninguna información médica con AMCA, y la agencia misma insiste en que no tiene Números de Seguro Social o información de identificación de seguro en los pacientes de LabCorp. Desafortunadamente, AMCA ha admitido que algunos detalles de pago "pueden haber sido accedidos".

¿Cuántos clientes de LabCorp se vieron afectados?

LabCorp dice que ha referido a alrededor de 7.7 millones de clientes a AMCA, pero la presentación no es muy clara sobre el número exacto de personas que han expuesto parte o la totalidad de sus datos. AMCA está en proceso de enviar avisos a alrededor de 200 mil clientes de LabCorp que están a punto de recibir protección contra el robo de identidad y servicios de monitoreo de crédito durante los próximos 24 meses, pero nadie parece estar seguro de si estos son todos los pacientes de LabCorp que fueron afectados por el Violación de datos de AMCA. Una cosa que es segura es que las personas que utilizaron los servicios de LabCorp no fueron las únicas afectadas por la violación de datos de AMCA.

LabCorp podría ser solo la punta del iceberg

Como ya mencionamos, LabCorp es solo uno de los clientes de AMCA, lo que significa que los usuarios de LabCorp son solo una parte de todas las personas afectadas por la violación. Por lo que parece, tampoco es una gran parte.

El 3 de junio, justo un día antes de que LabCorp presentara su solicitud de 8-K, Quest Diagnostic, otra compañía de pruebas médicas, anunció que gracias a la violación de AMCA, muy cerca de 12 millones de sus pacientes habían expuesto su información financiera y personal. La diferencia, en ese caso, era que los clientes de Quest también tenían sus números de Seguro Social y algunos datos médicos comprometidos. Lo peor de todo, para algunas personas, esto no era realmente una noticia.

A fines de febrero, los investigadores de seguridad de Gemini Advisory descubrieron algunos registros robados en la web oscura, y después de analizarlos, estaban bastante seguros de que habían sido robados de los sistemas de AMCA. Los expertos intentaron ponerse en contacto con la agencia de cobranza, pero no recibieron respuesta. Un par de meses después, DataBreaches.net también informó sobre el incidente, y también trataron de localizar a alguien de AMCA, pero una vez más, la víctima de lo que Gemini Advisory describe como la mayor violación médica de 2019 permaneció en silencio.

El gato está bien y verdaderamente fuera de la bolsa ahora, pero aun así, AMCA todavía no es muy comunicativo. Este no es realmente el tipo de reacción que desea ver de una compañía que ha sido golpeada por una violación de datos tan masiva.

Todavía se desconoce cuántas otras compañías podrían verse afectadas por el incidente de AMCA, y es aún más difícil predecir cuántas personas han expuesto sus datos. Sin embargo, es justo decir que si ha tenido interacciones comerciales con AMCA entre agosto de 2018 y marzo de 2019, es posible que desee mantener los ojos abiertos ante cualquier cosa sospechosa.