El estado de ciberseguridad en la industria de la salud me preocupa mucho. Las organizaciones de atención médica, ya sean sin fines de lucro o con fines de lucro, recopilan una enorme cantidad de datos. Y no son solo números de teléfono, direcciones o correos electrónicos, sino también información confidencial como registros médicos, detalles del seguro y más. Estos datos son extremadamente valiosos, lo que lo convierte en un objetivo principal para los piratas informáticos.
Lo peor es que muchas instituciones de salud a menudo descuidan la ciberseguridad y la tratan como una ocurrencia tardía. Solo en 2024, un rastreador de la industria registró 1.160 violaciones de atención médica que expusieron 305 millones de registros de pacientes. Esto marcó un aumento del 26% en comparación con el año anterior.
En este contexto, Ascensión, un sistema de salud católico con sede en Missouri con 142 hospitales y 142,000 empleados, recientemente reveló que una violación de diciembre de 2024 expuso la información private y médica de más de 430,000 pacientes.
Un hacker en el trabajo (Kurt “Cyberguy” Knutsson)
Lo que necesitas saber
De acuerdo a Cartas de notificación de incumplimiento de Ascensionel compromiso comenzó el 5 de diciembre de 2024, cuando la purple aprendió los datos del paciente “pueden haber estado involucrados en un posible incidente de seguridad”. Para el 21 de enero de 2025, sus investigadores habían determinado que Ascensión había “revelado inadvertidamente información a un ex socio comercial”, y que los atacantes probablemente robaron datos de ese socio a través de un defecto en su software program. En otras palabras, los registros de pacientes pasaron de la ascensión al sistema de un tercero y luego fueron desviados por los cibercriminales.
Los atacantes obtuvieron una amplia gama de información. Se expusieron los detalles demográficos y financieros de los pacientes, los nombres, las direcciones postales, los números de teléfono, las direcciones de correo electrónico, las fechas de nacimiento, la raza, el género y los números de seguridad social. Aún más preocupante, la violación incluyó datos clínicos de estadías en el hospital, incluidos nombres de médicos, fechas de ingreso y alta, códigos de diagnóstico y procedimientos, números de registros médicos y detalles del seguro. Estos son los mismos datos que los delincuentes pueden explotar por fraude o robo de identidad.
Un trabajador de la salud que escribe en una computadora portátil (Kurt “Cyberguy” Knutsson)
¿Crees que puedes eliminar tus propios datos? Por qué es más difícil de lo que piensas
Línea de tiempo y participación
Ascension informó la violación de los reguladores a través de una presentación del HHS el 28 de abril de 2025, que muestra 437,329 pacientes afectados. En comparación, la compañía había revelado anteriormente el impacto en las presentaciones estatales. Por ejemplo, 114,692 pacientes de Texas y 96 residentes de Massachusetts fueron notificados individualmente de exposición. En respuesta, Ascensión ofrece aquellos afectados dos años de servicios de monitoreo de identidad gratuito (monitoreo de crédito, consulta de fraude y restauración de robo de identidad).
Para la escala, Ascension es un importante sistema de salud sin fines de lucro, uno de los más grandes de los Estados Unidos, que opera 142 hospitales en América del Norte. La compañía no ha nombrado al socio de terceros, pero su descripción se ajusta a un proveedor cuyo software program seguro de transferencia de archivos se violó.
El tiempo se alinea con una serie de ataques recientes de ransomware CL0P. CL0P ha reclamado públicamente la responsabilidad de explotar un defecto de día cero en los productos seguros de transferencia de archivos de Cleo, robando datos de docenas de organizaciones en todo el mundo. Si bien Ascension en sí no fue golpeada directamente por el ransomware, sus datos podrían haber terminado en esa misma campaña de ataque.
Los pacientes y empleados de Ascension no son extraños de violaciones de datos. En mayo de 2024, un Ataque de ransomware negro de Basta comprometió la propia red de Ascension. Ese incidente, se remonta a un solo empleado que abrió un archivo malicioso, resultó en la exfiltración de datos que pertenecen a casi 5.6 millones de personas.
Las consecuencias fueron severas. Los hospitales perdieron acceso a registros digitales, lo que obligó a los médicos a registrar vitales, medicamentos y pedidos en papel. Los procedimientos electivos y algunas citas se detuvieron, y los servicios de emergencia se redirigieron a instalaciones no afectadas para evitar demoras en la atención.
Nos comunicamos con Ascension para un comentario sobre nuestro artículo, pero no recibimos respuesta antes de nuestra fecha límite.
Un hombre escribiendo en una computadora portátil (Kurt “Cyberguy” Knutsson)
Cómo deshacerse de Robocalls con aplicaciones y servicios de eliminación de datos
Formas de protegerse después de la violación de los datos de la ascensión
Si cree que fue afectado o simplemente quiere ser cauteloso, aquí hay algunos pasos que puede tomar en este momento para mantenerse a salvo de la violación de datos de Ascension.
1) Tenga cuidado con las estafas de phishing y use un software program antivirus fuerte: Con el acceso a su correo electrónico, número de teléfono o documentos de identificación, los atacantes de Ascension pueden crear correos electrónicos de phishing convincentes que pretenden ser de proveedores de atención médica o bancos. Estos correos electrónicos pueden incluir enlaces maliciosos diseñados para instalar malware o robar información de inicio de sesión. Para defenderse, use un programa antivirus fuerte. Obtenga mis elecciones para los mejores ganadores de protección antivirus 2025 para sus dispositivos Windows, Mac, Android e iOS.
2) Frote sus datos de Web utilizando un servicio de eliminación de datos personales: Cuanto más expuesta esté su información private, más fácil es que los estafadores la usen contra usted. Después de la violación de la Ascensión, considere eliminar su información de bases de datos públicas y sitios de búsqueda de personas.
Si bien ningún servicio puede garantizar la eliminación completa de sus datos de Web, un servicio de eliminación de datos es realmente una opción inteligente. No son baratos y tampoco es tu privacidad. Estos servicios hacen todo el trabajo por usted al monitorear activamente y borrando sistemáticamente su información private de cientos de sitios internet. Es lo que me da tranquilidad y ha demostrado ser la forma más efectiva de borrar sus datos personales de Web. Al limitar la información disponible, scale back el riesgo de los datos de referencias cruzadas de las infracciones con información que pueden encontrar en la purple oscura, lo que dificulta que se le apuntarán. Consulte mis mejores selecciones para obtener servicios de eliminación de datos aquí.
4) Configurar alertas de fraude: Solicitar alertas de fraude notifica a los acreedores que necesitan una verificación adicional antes de emitir crédito a su nombre. Puede solicitar alertas de fraude a través de cualquiera de las tres oficinas de crédito principales; Notificarán a los demás. Esto agrega otra capa de protección sin congelar completamente el acceso al crédito.
5) Monitorear sus informes de crédito: Verifique regularmente sus informes de crédito a través de Anual creditreport.comdonde puede acceder a informes gratuitos de cada oficina una vez al año o con más frecuencia si le preocupa el fraude. Ocupar las cuentas no autorizadas temprano puede evitar daños financieros mayores.
6) Cambie las contraseñas y use un administrador de contraseñas: Actualice contraseñas en cualquier cuenta vinculada a datos comprometidos. Use contraseñas únicas que sean difíciles de adivinar y permita que un administrador de contraseñas haga el trabajo pesado generando las seguras para usted. Las contraseñas reutilizadas son un objetivo fácil después de las violaciones. Considere los administradores de contraseñas para mayor comodidad y seguridad. Obtenga más detalles sobre mi Los mejores administradores de contraseñas revisados por expertos de 2025 aquí.
7) Tenga cuidado con los ataques de ingeniería social: Los piratas informáticos pueden usar detalles robados, como nombres o fechas de nacimiento de las infracciones en estafas de teléfono o llamadas falsas de servicio al cliente diseñadas para engañarlo para que revelen información más smart. Nunca comparta datos personales sobre llamadas o correos electrónicos no solicitados. Los ataques de ingeniería social dependen de la confianza, y la vigilancia es clave.
Hackers que usan malware para robar datos de las unidades flash USB
Takeaway de la llave de Kurt
Los atacantes con frecuencia han dirigido la Ascensión, pero la compañía no parece estar aprendiendo su lección. Si fuera un incidente único, podría ser comprensible. Pero, ¿cómo no fortalece la ciberseguridad después de experimentar un apagón a nivel nacional? En lugar de ser un evento aislado, esta violación se siente como parte de un patrón más grande. La industria se basa en redes de proveedores complejos y sistemas de TI obsoletos, mientras que los cibercriminales continúan explotando vulnerabilidades emergentes.
¿Deben los hospitales ser penalizados por descuidar las prácticas básicas de ciberseguridad? Háganos saber escribiéndonos en Cyberguy.com/contact.
Para obtener más consejos tecnológicos y alertas de seguridad, suscríbase a mi boletín gratuito de Cyberguy Report al dirigirse a Cyberguy.com/newsletter.
Hazle una pregunta a Kurt o háganos saber qué historias le gustaría que cubramos.
Sigue a Kurt en sus canales sociales:
Respuestas a las preguntas de CyberGuys más informadas:
Nuevo de Kurt:
Copyright 2025 cyberguy.com. Reservados todos los derechos.
