La inseguridad es una constante en el mundo moderno aunque no sólo está en riesgo la integridad física. Con el apogeo de internet y los medios digitales se ha incrementado el robo de datos médicos. De hecho es uno de los principales objetivos de los ciberdelincuentes debido al valor que tiene esta información en el mercado negro.
Tan sólo para poner en perspectiva, se estima que los historiales médicos pueden alcanzar un precio 20 veces superior al de los datos de las tarjetas de crédito en el mercado clandestino.
Con esto en mente, durante los últimos años se han incrementado los ataques digitales contra instituciones sanitarias. El “secuestro de información” es una de las modalidades más comunes. Lo que buscan los hackers es forzar pagos multimillonarios a cambio de no utilizar los datos médicos.
Al respecto, ESET, compañía enfocada en la detección proactiva de amenazas, advierte que los datos de instituciones de salud siguen siendo un objetivo codiciado por los actores maliciosos.
De hecho los datos médicos figuran entre la información más sensible que se comparte con las organizaciones y, por ejemplo, el Reglamento General de Protección de Datos de la Unión Europea (GDPR, por sus siglas en inglés) les otorga el estatus de “categoría especial”, lo que significa que se requieren protecciones adicionales.
¿Cuáles son los datos médicos que están en riesgo?
- Números de póliza de seguro médico o similares.
- Información personal identificable (IPI), como el número de la Seguridad Social, la dirección postal, correo electrónico, la fecha de nacimiento y datos filiales.
- Contraseñas de cuentas médicas, financieras y de seguros.
- Historial médico, incluidos tratamientos y recetas.
- Información sobre facturación y pagos, como datos sobre tarjetas de crédito y débito y cuentas bancarias.
Esta información podría ser utilizada malintencionadamente para cargar facturas en la tarjeta de crédito, abrir nuevas líneas de crédito, acceder a cuentas bancarias y vaciarlas, o hacerse pasar por la víctima para obtener servicios médicos y medicamentos caros.
Incluso si hay información sensible sobre tratamientos o diagnósticos, podrían intentar llevar adelante algún tipo de chantaje.
¿Qué hacer en caso de sufrir el robo de datos médicos?
- Comprobar la notificación: leer detenidamente el mensaje que llegue informando sobre un incidente que afecte los datos. Sea un correo electrónico, un mensaje de WhatsApp, o cualquier otro medio, siempre chequear los indicios más comunes de que puede ser una comunicación fraudulenta como las faltas de ortografía y gramaticales o el pedido urgente de información personal.
- Averiguar los detalles sobre el incidente: el siguiente paso fundamental es conocer la exposición al riesgo. ¿Qué información se ha visto comprometida exactamente? ¿Se trata de una exposición accidental de datos, o han sido terceros malintencionados los que han accedido a ellos y los han robado? ¿A qué tipo de información se ha podido acceder?
- Supervisar las cuentas: si actores maliciosos han accedido a la información personal y médica, pueden venderla a estafadores o intentar utilizarla ellos mismos. En cualquier caso, vale la pena vigilar cualquier actividad sospechosa, como facturas médicas por servicios que no se usaron. También chequear las transacciones bancarias y con tarjeta.
- Informar las actividades sospechosas: si se detecta cualquier actividad sospechosa o error de facturación, informarlo al proveedor. Lo mejor es hacerlo por escrito, además de notificarlo por correo electrónico/teléfono, u otros medios habilitados.
- Congelar los informes crediticios y suspender las tarjetas: dependiendo de la información personal que haya sido comprometida, es una buena opción congelar la información crediticia, si se cuenta con esta opción. De este modo no podrán aprobarse créditos en su nombre, evitando que utilicen la información para sacar créditos fraudulentos.
- Cambiar las contraseñas: si los datos de acceso se han visto comprometidos en una brecha, el proveedor correspondiente debería restablecerlos automáticamente. Pero si no es así, se puede hacer manualmente para mayor tranquilidad. Esto evitará intentos de apropiación de la cuenta, especialmente si mejora su seguridad mediante la autenticación de dos factores.
- Mantenerse alerta: cuando los estafadores se apoderan de la información personal y médica, pueden intentar utilizarla en posteriores ataques de phishing por correo electrónico, mensajes de texto o incluso llamadas telefónicas. El objetivo es utilizar la información robada para añadir legitimidad a las solicitudes de más información personal, como datos financieros.
- Considerar la posibilidad de emprender acciones legales: si los datos fueron comprometidos por negligencia del proveedor de asistencia sanitaria, dependiendo de la jurisdicción y de las leyes locales de protección de datos/privacidad, podría corresponder recibir algún tipo de indemnización. Lo mejor es asesorarse con un experto legal sobre una posible demanda.
