Dos gigantes sanitarios sufren ciberataques: McKesson y Boston Scientific

La semana pasada, dos grandes empresas sanitarias sufrieron ataques cibernéticos. Ahora sabemos más detalles, y al menos uno de ellos lleva la firma de ShinyHunters, un grupo de extorsión conocido por robar datos masivos.

McKesson confirmó que ShinyHunters accedió a sus instancias de Snowflake y Salesforce, y robó datos de pacientes. El grupo afirmó haber sustraído más de 284 millones de registros, y pidió un rescate de 55,2 millones de dólares. Los datos incluirían nombres, direcciones, correos, teléfonos, números de seguridad social y detalles de salud. La compañía dice que la información pertenece a sus unidades de Oncología y Especialidades Múltiples, y Médico-Quirúrgica. Un portavoz explicó que varios empleados fueron objetivo de un ataque de vishing (suplantación telefónica).

Las cifras son las que da el grupo, no una verificación independiente. La investigación está en curso y aún no se sabe hasta qué punto son ciertas.

Boston Scientific, con problemas en dispositivos implantados

Boston Scientific, por su parte, asegura que ya expulsó a los atacantes de su red, pero la investigación continúa. El problema ahora es que los nuevos dispositivos de gestión del ritmo cardíaco (CRM) implantados después del 25 de agosto no se pueden activar con normalidad. Los datos que generan no se transmiten automáticamente a los sistemas de monitorización remota.

La compañía explica que los nuevos monitores cardiacos insertables (ICM) deben activarse con la app Clinic Assistant. Hasta que no se emparejen con el móvil del paciente, los episodios registrados no se enviarán al sistema remoto. Esos datos se guardan en el dispositivo y pueden recuperarse en una consulta presencial.

Boston Scientific no ha confirmado si ShinyHunters está detrás de este ataque, y el grupo tampoco lo ha reclamado públicamente. Mientras tanto, los pacientes con estos dispositivos tendrán que acudir al hospital para que les lean los datos hasta que se resuelva el problema.

Lo que queda por ver es si las cifras de McKesson son reales y cómo afectará esto a la confianza en la seguridad de los datos sanitarios. También habrá que seguir la pista a Boston Scientific: si el ataque fue obra de ShinyHunters, sería un doble golpe en pocos días.