Una persona anónima reveló que obtuvo golpe en rasgo a la plataforma de un radiólogo que alojaba información de pacientes utilizando credenciales robadas.
I-MED Radiology es el principal proveedor de imágenes médicas de Australia. Sus clínicas ofrecen una variedad de procedimientos de imágenes que incluyen resonancia magnética, tomografía computarizada, rayos X, ultrasonido y medicina nuclear. La persona dijo que encontró las credenciales en un conjunto de datos que provenía de otra filtración, lo que significa que es muy probable que el titular de la cuenta haya usado las mismas credenciales para más de un servicio.
Los ciberdelincuentes suelen utilizar credenciales filtradas y probarlas en otros sitios web y servicios. Este tipo de ataque se fogata relleno de credenciales. Los delincuentes con golpe a las credenciales del sitio A las probarán en los sitios B y C, a menudo en ataques automatizados. Si el heredero ha reutilizado su contraseña, las cuentas de esos sitios adicionales igualmente se verán comprometidas.
El denunciante le dijo a Crikey que encontraron detalles de inicio de sesión de tres cuentas en los datos que pertenecían a un hospital. Las credenciales les dieron golpe al portal de pacientes de radiología de I-MED y, con ello, a archivos que muestran los nombres completos de los pacientes, fechas de arranque, sexo, qué exploraciones recibieron y fechas de las exploraciones.
Las credenciales estuvieron disponibles en rasgo para los ciberdelincuentes durante más de un año. Y para empeorar las cosas, las cuentas tenían contraseñas de tres a cinco humanidades de largo y no estaban protegidas por autenticación de dos factores (2FA). Todavía parecía como si estas cuentas fueran compartidas entre varias personas.
Este nivel de autenticación está por debajo de cualquier normalizado, pero es especialmente inaceptable cuando se manejo de datos confidenciales de pacientes.
Cuando se le preguntó, I-Med dijo:
“Hemos… fortalecido aún más nuestro sistema de vigilancia y estamos trabajando con expertos cibernéticos para contestar”.
La informe sobre la filtración llega en un mal momento para I-MED, tras acusaciones recientes de que permitió a una startup utilizar datos de pacientes para entrenar una Inteligencia Industrial (IA) sin consentimiento.
Protegiéndose posteriormente de una violación de datos
Hay algunas acciones que puede tomar si es, o sospecha que pudo poseer sido, víctima de una violación de datos.
- Consulte los consejos del proveedor. Cada infracción es diferente, así que consulte con el proveedor para examinar qué sucedió y siga los consejos específicos que le ofrezcan.
- Cambia tu contraseña. Puedes hacer que una contraseña robada sea inútil para los ladrones cambiándola. Elija una contraseña segura que no utilice para mínimo más. Mejor aún, deje que un administrador de contraseñas elija una por usted.
- Habilite la autenticación de dos factores (2FA). Si puede, utilice una picaporte de hardware, una computadora portátil o un teléfono compatible con FIDO2 como segundo ejecutor. Algunas formas de autenticación de dos factores (2FA) pueden ser objeto de phishing tan fácilmente como una contraseña. La 2FA que depende de un dispositivo FIDO2 no puede ser objeto de phishing.
- Cuidado con los vendedores falsos. Los ladrones pueden contactarlo haciéndose advenir por el comerciante. Consulte el sitio web del proveedor para ver si se están comunicando con las víctimas y verifique la identidad de cualquier persona que se comunique con usted utilizando un canal de comunicación diferente.
- Tome su tiempo. Los ataques de phishing a menudo se hacen advenir por personas o marcas que conoce y utilizan temas que requieren atención urgente, como entregas perdidas, suspensiones de cuentas y alertas de seguridad.
- Considere no juntar los datos de su maleable. Definitivamente es más conveniente conseguir que los sitios recuerden los detalles de su maleable, pero recomendamos insistentemente no juntar esa información en sitios web.
- Configure el monitoreo de identidad. El monitoreo de identidad le alerta si se descubre que su información personal se comercializa ilegalmente en rasgo y le ayuda a recuperarse posteriormente.
Si desea conocer qué datos personales suyos han sido expuestos en rasgo, puede utilizar nuestro escaneo sin cargo de Huella Digital. Complete la dirección de correo electrónico que le interesa (es mejor dirigir la que usa con más frecuencia) y le enviaremos un noticia sin cargo.