Cibercrimen, Gestión de fraudes y cibercrimen, Gobierno Grupo cibercriminal afirma haber publicado 100 gigabytes de datos robados de la agenciaMarianne Kolbasuk McGee (HealthInfoSec) • 29 de agosto de 2024 Imagen: Departamento de Salud de Florida Casi dos meses después de que RansomHub afirmara haber publicado 100 gigabytes de sus datos robados en la red oscura, el Departamento de Salud de Florida está notificando a los ciudadanos que su información confidencial ha sido comprometida. El ataque afectó al sistema de estadísticas vitales del departamento utilizado para emitir certificados de nacimiento y defunción. Ver también: Navegador empresarial que respalda la atención médica y la resiliencia cibernética El departamento de salud dijo en un aviso publicado en su sitio web que notificó a las fuerzas del orden sobre el incidente y ha informado de la violación al Departamento de Salud y Servicios Humanos de EE. UU., aunque el jueves el informe aún no se publicó en el sitio web de la herramienta de informes de violaciones de HIPAA de la Oficina de Derechos Civiles del HHS que enumera las violaciones importantes que afectan a 500 o más personas. El Departamento de Salud de Florida no respondió de inmediato a la solicitud de Information Security Media Group de obtener detalles adicionales sobre la violación, incluida la cantidad de personas afectadas, y también comentarios sobre las afirmaciones de RansomHub. A principios de julio, RansomHub afirmó haber publicado 100 GB de datos contenidos en 40.000 archivos en su sitio web oscuro después de piratear el departamento de salud. El estado confirmó más tarde los informes de los medios locales de que el incidente afectó al sistema de estadísticas vitales del departamento utilizado para emitir certificados de nacimiento y defunción, pero se negó a proporcionar más detalles (ver: Informes: El Departamento de Salud de Florida lidia con el robo de datos). En su aviso público de violación, el departamento dijo que el 26 de junio descubrió «una violación de seguridad» en su red que provocó un acceso no autorizado a algunos de sus datos. «Este acceso no autorizado afectó a un número limitado de nuestros sistemas y resultó en la transferencia de datos desde una ubicación específica dentro de nuestra red», dijo el departamento de salud. La agencia dijo que inmediatamente lanzó una investigación y colaboró ​​con expertos en ciberseguridad para determinar la naturaleza y el alcance de la violación. “El departamento también informó rápidamente a las fuerzas del orden y remitió el asunto al Departamento de Aplicación de la Ley de Florida para su investigación”, dice el comunicado. La información de las personas potencialmente afectadas en la violación de seguridad del Departamento de Salud de Florida es muy amplia. Los datos comprometidos incluyen nombre, fecha de nacimiento, dirección, número de Seguro Social, información bancaria, información de tarjeta de crédito, número de licencia de conducir, número de pasaporte, número de identificación militar, número Nexus, historial médico y dental, información de medicamentos/recetas, nombre del proveedor/médico/coordinador de atención, información de reclamos de seguros, información de cobertura de seguros y contraseñas. La carta que el departamento de salud envía a cada individuo proporciona detalles específicos sobre el impacto en sus datos personales, dice el comunicado. “Tan pronto como el departamento se dio cuenta de la violación de seguridad, cerramos rápidamente las redes afectadas y aislamos los servidores comprometidos mientras implementamos medidas de seguridad mejoradas para evitar más accesos no autorizados”, dijo el departamento. ¿Doble rasero para las violaciones de seguridad del sector público? Aunque los tipos de información y la demografía de las personas afectadas por las infracciones que involucran a las agencias estatales pueden ser amplios, esas agencias gubernamentales generalmente no enfrentan obstáculos regulatorios adicionales en comparación con las organizaciones no gubernamentales relacionadas con la salud cuando se trata de responder y reportar incidentes cibernéticos, dicen algunos expertos. Pero a menudo ocurre lo contrario, dijo la abogada regulatoria Rachel Rose. «Las agencias estatales ya tienen una ‘vía interna’ y posiblemente pueden coordinarse más rápidamente con las fuerzas del orden y otras agencias gubernamentales para fines de presentación de informes», dijo. Estas agencias también deben tener una política y un procedimiento de notificación de infracciones. «Si un estado individual está obligado a informar a una persona en particular dentro de una agencia en particular se determinaría caso por caso y debería delinearse en las políticas y procedimientos de notificación de infracciones», dijo. La Ley HITECH otorga a los fiscales generales estatales la autoridad para iniciar acciones civiles en nombre de los residentes del estado por violaciones de las reglas de privacidad y seguridad de HIPAA, según Rose. “La Ley HITECH permite a los fiscales generales estatales obtener daños y perjuicios en nombre de los residentes del estado o prohibir más violaciones de las normas de privacidad y seguridad de HIPAA, como se indica en el sitio web del HHS”, dijo. “Este podría ser un tema interesante para observar a la luz de quién supuestamente perpetró el ciberataque” al Departamento de Salud de Florida, dijo. La participación de RansomHub podría convertirlo en un caso de mayor perfil para el fiscal general. RansomHub, que apareció por primera vez en febrero, se ha convertido rápidamente en uno de los grupos de ransomware más notables, y sus ataques y grandes robos de datos han incluido al sector de la salud. RansomHub afirmó recientemente en su sitio web oscuro haber filtrado 700 gigabytes de datos robados de American Clinical Solutions, un laboratorio médico de pruebas de drogas con sede en Sun City Center, Florida (ver: Laboratorio de pruebas de drogas con sede en Florida dice que 300.000 personas se vieron afectadas por el ataque). La banda también afirmó estar detrás del ataque de junio a la cadena de farmacias Rite Aid, que afectó a la información de 2,2 millones de personas (ver: Rite Aid dice que un grupo de ransomware robó los datos de 2,2 millones de clientes). RansomHub también estuvo involucrado en el ataque masivo a Change Healthcare en febrero. El grupo afirmó tener la custodia de 4 terabytes de datos robados por un afiliado de otro grupo de ransomware, BlackCat, en ese ataque (ver: La ‘incautación’ del grupo de ransomware BlackCat parece ser una estafa de salida). URL original de la publicación: https://www.databreachtoday.com/florida-department-health-informs-ransomhub-hack-victims-a-26169