Les infraccions de dades sanitàries del 2024 van exposar 186 milions de registres en 720 incidents
El 2024, el sector sanitari nord-americà es va enfrontar a 720 incompliments de dades, que van comprometre aproximadament 186 milions de registres d'usuaris. Aquestes infraccions, informades a l'Oficina de Drets Civils del Departament de Salut i Serveis Humans (HHS OCR), posen de manifest els creixents riscos de ciberseguretat als quals s'enfronten les organitzacions sanitàries. Tot i que el nombre de registres exposats és massiu , el nombre real d'individus afectats pot ser inferior, ja que alguns poden haver estat afectats per múltiples incompliments.
Les dades compromeses incloïen informació personal i mèdica sensible, com ara noms, dades de contacte, números de la Seguretat Social, dates de naixement, dades d'assegurança, registres mèdics i informació financera. Els proveïdors d'assistència sanitària van ser les entitats dirigides amb més freqüència , amb aproximadament 520 incidents. Els socis comercials d'organitzacions sanitàries també es van veure molt afectats, amb 120 infraccions reportades. Prop de 100 incidents van implicar plans de salut.
Taula de continguts
La pirateria informàtica i els incidents encapçalen el grup
La majoria de les infraccions denunciades (prop de 600) es van classificar com a incidents informàtics o de pirateria, que sovint inclouen atacs de ransomware . L'accés o la divulgació no autoritzats va ser la segona causa més freqüent d'incompliments. Els servidors de xarxa van ser l'objectiu principal en aproximadament 450 incidents, mentre que els sistemes de correu electrònic, que s'utilitzen sovint per a la pesca i el lliurament de programari maliciós, van estar implicats en 160 incompliments.
Desglossament estatal d'incompliments
La base de dades HHS OCR va revelar que Texas i Califòrnia van experimentar el major nombre d'incidents, amb aproximadament 60 infraccions cadascun. Altres estats amb un nombre significatiu d'infraccions inclouen Nova York (46), Illinois (43), Florida (37), Pennsilvània (31), Ohio (29), Massachusetts (29), Tennessee (25) i Michigan (22).
Incompliments d'alt perfil del 2024
Entre les infraccions denunciades, un atac de ransomware a Change Healthcare va destacar com el més gran, que va afectar aproximadament 100 milions de persones. Aquesta incompliment per si sola va representar més de la meitat dels registres compromesos reportats el 2024.
Altres infraccions notables inclouen:
- Kaiser Permanente : 13,4 milions de registres compromesos
- Ascension Health : 5,5 milions de registres
- HealthEquity : 4,3 milions de registres
- Concentra Health Services : 3,9 milions de registres
- Centres de serveis de Medicare i Medicaid : 3,1 milions de registres
- Acadian Ambulance Service : 2,8 milions de registres
- Sav-Rx (A&A Services) : 2,8 milions de registres
- WebTPA : 2,5 milions de registres
- Integris Health : 2,3 milions de registres
Altres organitzacions sanitàries també es van enfrontar a incompliments que van afectar més d'un milió de persones, com ara Medical Management Resource Group (2,3 milions), Summit Pathology (1,8 milions) i Geisinger (1,2 milions).
L'amenaça creixent per a la sanitat
El sector sanitari segueix sent un objectiu principal per als ciberdelinqüents a causa de les dades sensibles i de gran valor que emmagatzema. Els atacs de ransomware , les campanyes de pesca i l'explotació de vulnerabilitats informàtiques segueixen sent els mètodes principals utilitzats pels atacants per accedir als sistemes sanitaris. Aquests incidents posen de manifest la necessitat crítica de mesures sòlides de ciberseguretat al sector, inclosa la seguretat de la xarxa millorada, la formació dels empleats per combatre el phishing i protocols d'autenticació més forts.
A mesura que les organitzacions sanitàries continuen digitalitzant les seves operacions i confiant en plataformes basades en núvol, s'espera que el risc d'infraccions de dades creixi. Això subratlla la necessitat de mesures de seguretat proactives, monitorització d'amenaces i plans de resposta ràpida per mitigar els danys causats pels ciberatacs.
Les infraccions de 2024 serveixen com a recordatori contundent que fins i tot organitzacions conegudes poden ser víctimes d'atacs, causant conseqüències generalitzades tant per als pacients com per als proveïdors. Amb les apostes personals i financeres tan altes, la indústria sanitària ha de prioritzar la protecció de dades per mantenir-se per davant dels ciberdelinqüents en els propers anys.