El martes, el proveedor de servicios de tecnología sanitaria HealthEquity reveló en una presentación ante los reguladores federales que había sufrido una violación de datos, en la que piratas informáticos robaron la “información sanitaria protegida” de algunos clientes.
En una presentación 8-K ante la SECLa compañía dijo que detectó “un comportamiento anómalo en un dispositivo de uso personal perteneciente a un socio comercial” y concluyó que la cuenta del socio había sido comprometida por alguien que luego utilizó la cuenta para acceder a la información de los miembros.
El miércoles, HealthEquity reveló más detalles del incidente a TechCrunch. La portavoz de HealthEquity, Amy Cerny, dijo en un correo electrónico que se trataba de “un incidente aislado” que no está relacionado con otras infracciones recientes, como la de Change Healthcare, propiedad del gigante de la atención médica UnitedHealth. En mayo, el director ejecutivo de UnitedHealth, Andrew Witty, dijo en una audiencia en la Cámara de Representantes que la infracción afectó a “quizás un tercio” de todos los estadounidenses.
HealthEquity detectó la vulneración el 25 de marzo, cuando “tomó medidas inmediatas, resolvió el problema y comenzó un análisis forense exhaustivo de los datos, que se completó el 10 de junio”. La empresa reunió a “un equipo de expertos externos e internos para investigar y prepararse para la respuesta”. Las investigaciones determinaron que la vulneración se debió a que la cuenta del proveedor externo comprometida tenía acceso a “algunos de los datos de SharePoint de HealthEquity”, según Cerny.
Contáctenos
¿Tiene más información sobre esta violación de seguridad de HealthEquity? Desde un dispositivo que no esté en el trabajo, puede comunicarse de forma segura con Lorenzo Franceschi-Bicchierai en Signal al +1 917 257 1382, o por Telegram, Keybase y Wire @lorenzofb, o por correo electrónico. También puede comunicarse con TechCrunch a través de SecureDrop.
SharePoint es un conjunto de herramientas de Microsoft que permite a las empresas crear sitios web, así como almacenar y compartir información interna, esencialmente una intranet.
Cerny también dijo que “los sistemas transaccionales, donde ocurren las integraciones, no se vieron afectados” y que la compañía está notificando a los socios, clientes y miembros, y ha estado trabajando con las fuerzas del orden y con expertos para trabajar en la prevención de incidentes futuros.
TechCrunch le pidió a Cerny que especificara qué información personal identificable y de “salud protegida” fue robada en esta filtración, cuántas personas se vieron afectadas y qué socio estuvo involucrado. Cerny se negó a responder a todas estas preguntas.
A principios de este año, HealthEquity informó que la empresa y sus subsidiarias “administran HSAs y otros CDB para nuestras más de 15 millones de cuentas en asociación con empleadores, asesores de beneficios y proveedores de planes de salud y jubilación”.