Cyberattack on Polish medical software provider exposes patient data

Una em­pre­sa po­la­ca pro­vee­do­ra de soft­wa­re para el sec­tor de la salud, en­car­ga­da de de­sa­rro­llar una pla­ta­for­ma de re­gis­tros mé­di­cos y ges­tión de prác­ti­cas, su­frió una fil­tra­ción de datos per­so­na­les des­pués de que un ata­can­te ex­plo­ta­ra una vul­ne­ra­bi­li­dad de in­yec­ción SQL. Los in­tru­sos lo­gra­ron sus­traer in­for­ma­ción con­fi­den­cial como nom­bres, di­rec­cio­nes par­ti­cu­la­res, nú­me­ros te­le­fó­ni­cos, co­rreos elec­tró­ni­cos y nú­me­ros de iden­ti­fi­ca­ción na­cio­nal, ade­más de exis­tir una alta pro­ba­bi­li­dad de que tam­bién ob­tu­vie­ran his­to­ria­les mé­di­cos y re­sú­me­nes de altas hos­pi­ta­la­rias co­rres­pon­dien­tes a de­ter­mi­na­dos pa­cien­tes.

Tras de­tec­tar­se la in­tru­sión, la com­pa­ñía res­pon­sa­ble del soft­wa­re so­lu­cio­nó el fallo de se­gu­ri­dad el mismo día del ha­llaz­go, li­mi­tó los per­mi­sos de bases de datos, mo­di­fi­có cre­den­cia­les y aña­dió nue­vas me­di­das de mo­ni­to­reo en su pla­ta­for­ma en la nube, la cual ha en­fren­ta­do múl­ti­ples in­ten­tos de ata­que re­cien­tes. No obs­tan­te, las au­to­ri­da­des gu­ber­na­men­ta­les cri­ti­ca­ron a la em­pre­sa pri­va­da por no haber re­por­ta­do opor­tu­na­men­te el in­ci­den­te a los equi­pos na­cio­na­les de res­pues­ta a emer­gen­cias y anun­cia­ron una au­di­to­ría, ade­más de pla­nes para en­du­re­cer las nor­ma­ti­vas y la se­gu­ri­dad en el pro­ce­sa­mien­to de datos mé­di­cos.

Este su­ce­so ocu­rre poco tiem­po des­pués de otro ci­ber­ata­que de gran mag­ni­tud di­ri­gi­do con­tra otra firma po­la­ca de soft­wa­re para el sec­tor salud, un in­ci­den­te que pudo haber afec­ta­do a mi­llo­nes de per­so­nas y miles de or­ga­ni­za­cio­nes sa­ni­ta­rias. Aun­que un medio es­pe­cia­li­za­do in­for­mó que un actor o grupo atri­bui­do a ambos in­ci­den­tes se co­mu­ni­có re­cla­man­do la res­pon­sa­bi­li­dad bajo el ar­gu­men­to de evi­den­ciar fa­llas de se­gu­ri­dad, las au­to­ri­da­des ofi­cia­les de Po­lo­nia to­da­vía no han ad­ju­di­ca­do for­mal­men­te la au­to­ría del ata­que a nin­gu­na per­so­na o grupo es­pe­cí­fi­co.