Redacción
La aseguradora de salud más grande de Australia, Medibank, reveló nuevos detalles impactantes sobre un ataque cibernético, pero advirtió a los piratas informáticos que «no pagarán ninguna demanda de rescate por este robo de datos».
Al revelar por primera vez nuevos detalles sobre la escala del ciberataque, Medibank ha confirmado que los piratas informáticos accedieron a los datos de reclamos de salud de alrededor de 160 000 clientes de Medibank y alrededor de 300 000 clientes de Ahm.
En las últimas semanas, surgió una nota de rescate que amenazaba con divulgar o vender a terceros información personal de personas de gran interés para los medios, incluidos diagnósticos de afecciones médicas delicadas o adicciones e información de tarjetas de crédito.
La nota de rescate afirmaba tener acceso a información médica confidencial sobre “políticos, actores, blogueros, activistas LGBT, personas adictas a las drogas, etc.”.
Medibank confirmó en el comunicado de hoy que los datos robados incluían información sobre dónde los clientes recibieron ciertos servicios médicos y códigos asociados con el diagnóstico y los procedimientos administrados.
En una declaración a la ASX, el presidente ejecutivo de Medibank, David Koczkar, se disculpó con los 3,8 millones de miembros de la compañía, pero dijo que no había garantía de que pagar el rescate impidiera que los piratas informáticos usaran los datos robados y la información médica confidencial.
“Nos tomamos en serio nuestra responsabilidad de salvaguardar a nuestros clientes. El uso de armas de su información privada en un esfuerzo por extorsionar el pago es malicioso y es un ataque a los miembros más vulnerables de nuestra comunidad”, dijo el Sr. Koczkar.
“Según los amplios consejos que hemos recibido de los expertos en ciberdelincuencia, creemos que solo hay una posibilidad limitada de que pagar un rescate garantice la devolución de los datos de nuestros clientes y evite que se publiquen.
“De hecho, pagar podría tener el efecto contrario y alentar al delincuente a extorsionar directamente a nuestros clientes, y existe una gran posibilidad de que pagar ponga a más personas en peligro al hacer de Australia un objetivo más grande”.
“Es por estas razones que hemos decidido que no pagaremos un rescate por este evento”, dijo.
En nueva información que detalla el alcance del ataque cibernético, Medibank también reveló que los piratas informáticos tenían:
• Accedió al nombre, fecha de nacimiento, dirección, número de teléfono y dirección de correo electrónico de alrededor de 9,7 millones de clientes actuales y anteriores y algunos de sus representantes autorizados.
• Esta cifra representa alrededor de 5,1 millones de clientes de Medibank, alrededor de 2,8 millones de clientes de ahm y alrededor de 1,8 millones de clientes internacionales
• No accedió a documentos de identidad primarios, como licencias de conducir, para clientes residentes de Medibank y ahm. Medibank no recopila documentos de identidad primarios para clientes residentes, excepto en circunstancias excepcionales
• Números de Medicare accedidos (pero no fechas de vencimiento) para clientes de ahm
• Números de pasaporte accedidos (pero no fechas de vencimiento) y detalles de visa para clientes estudiantes internacionales
• Se accedió a datos de reclamos de salud de alrededor de 160 000 clientes de Medibank, alrededor de 300 000 clientes de Ahm y alrededor de 20 000 clientes internacionales. Esto incluye el nombre y la ubicación del proveedor de servicios, dónde los clientes recibieron ciertos servicios médicos y los códigos asociados con el diagnóstico y los procedimientos administrados. Además, se ha accedido a algunos datos personales y de reclamaciones de salud de alrededor de 5200 pacientes de My Home Hospital (MHH) y se ha accedido a algunos datos de contacto de alrededor de 2900 familiares de estos pacientes.
• Detalles del proveedor de salud accedido, incluidos nombres, números de proveedores y direcciones
• No accedió a los datos de reclamos de salud para servicios adicionales (como dental, fisio, óptica y psicología)
• No accedí a la tarjeta de crédito ni a los datos bancarios
Medibank dijo que los clientes deben permanecer atentos ya que el delincuente puede publicar datos de clientes en línea o intentar contactar a los clientes directamente.
“Medibank también encargará una revisión externa para garantizar que aprendamos de este evento y continuemos fortaleciendo nuestra capacidad para proteger a nuestros clientes”, dijo.
Desde que se detectó el ataque por primera vez el 12 de octubre, Medibank dijo que no se han detectado más actividades sospechosas dentro de sus sistemas.
Medibank dijo que estaba obligado por ley a retener cierta información del cliente (incluido el cliente anterior) durante períodos de tiempo específicos, generalmente durante siete años desde que el cliente nos deja, pero en algunos casos por más tiempo.
La compañía dijo que había ampliado un Programa de soporte de respuesta cibernética dedicado.
El programa ya incluye:
• Asistencia por dificultades económicas para clientes que se encuentran en una posición especialmente vulnerable como resultado de este delito, a la que se puede acceder a través de nuestro equipo del centro de contacto (13 23 41 para Medibank y clientes internacionales, 13 42 46 para clientes de ahm y 1800 081 245 para pacientes de MHH )
• Asesoramiento y recursos especializados en protección de la identidad a través de la página de Medibank especialmente diseñada por IDCARE
• Servicios gratuitos de control de identidad para clientes cuya identidad se ha visto comprometida como resultado de este delito
• Reembolso de tarifas de reemplazo de identificación para clientes que necesitan reemplazar cualquier identidad
documentos que han sido comprometidos como resultado de este crimen
