Medical services company settles with 4 states over 2023 hack of sensitive patient records

Un acuer­do al­can­za­do con fis­ca­les ge­ne­ra­les de cua­tro es­ta­dos es­ta­ble­ce que una em­pre­sa de ser­vi­cios de salud de­be­rá rea­li­zar mo­di­fi­ca­cio­nes pro­fun­das en sus pro­to­co­los de se­gu­ri­dad in­for­má­ti­ca y abo­nar una can­ti­dad mo­ne­ta­ria tras una fil­tra­ción de in­for­ma­ción ocu­rri­da en un pe­rio­do de­ter­mi­na­do. La de­man­da fue in­ter­pues­ta por re­pre­sen­tan­tes le­ga­les es­ta­ta­les con­tra las fi­lia­les de­di­ca­das a la trans­crip­ción mé­di­ca, co­di­fi­ca­ción y diag­nós­ti­co por ima­gen per­te­ne­cien­tes a una com­pa­ñía con sede en Ne­va­da. Como parte del arre­glo, en caso de no cum­plir con las re­for­mas ci­ber­né­ti­cas exi­gi­das, la en­ti­dad en­fren­ta­ría un pago adi­cio­nal a los es­ta­dos in­vo­lu­cra­dos.

La in­ves­ti­ga­ción ofi­cial de­ter­mi­nó que los ci­ber­de­lin­cuen­tes lo­gra­ron vul­ne­rar los sis­te­mas de la or­ga­ni­za­ción uti­li­zan­do las cre­den­cia­les de un em­plea­do, apro­ve­chan­do la au­sen­cia de au­ten­ti­ca­ción mul­ti­fac­tor para la ve­ri­fi­ca­ción de usua­rios. Du­ran­te el tiem­po pos­te­rior al ac­ce­so no au­to­ri­za­do, los ata­can­tes re­co­pi­la­ron con­tra­se­ñas y ac­ce­die­ron a do­cu­men­tos sin ci­frar que con­te­nían his­to­ria­les mé­di­cos pro­te­gi­dos. A pesar de que los pro­gra­mas in­for­má­ti­cos de la em­pre­sa re­gis­tra­ron los mo­vi­mien­tos de los in­tru­so­res, la con­fi­gu­ra­ción de­fi­cien­te im­pi­dió que se aler­ta­ra al equi­po de se­gu­ri­dad de la in­for­ma­ción, per­mi­tien­do que el robo de datos se pro­lon­ga­ra du­ran­te un pe­rio­do pro­lon­ga­do hasta que los pro­pios pi­ra­tas in­for­má­ti­cos no­ti­fi­ca­ron a la com­pa­ñía.