La Brecha de Datos de AMCA 2019: Lo que Toda Pequeña Empresa Puede Aprender del Peor Año de la Salud

En junio de 2019, American Medical Collection Agency (AMCA) una empresa de cobranza de deudas que procesaba facturas médicas para importantes proveedores de salud, incluidos Quest Diagnostics y LabCorp reveló que los atacantes habían residido silenciosamente en sus sistemas de pago durante ocho meses, recolectando 25 millones de registros de pacientes, incluidos números de Seguro Social, datos de tarjetas de pago e información médica. La brecha llevó a AMCA a la bancarrota. Quest Diagnostics perdió $6 mil millones en capitalización de mercado en un solo día de negociación. LabCorp cayó de manera similar. Y miles de pacientes afectados enfrentaron años de consecuencias por robo de identidad. La brecha de AMCA fue el acto de apertura de 2019 en lo que se convertiría en el peor año de seguridad de datos de salud registrado pero sus lecciones aplican a cada pequeña empresa que procesa datos sensibles.

Qué Pasó Realmente en AMCA

El ataque a AMCA no fue sofisticado en el sentido en que ese término se usa mal a menudo. Los atacantes no implementaron exploits de día cero ni técnicas de nivel de estado-nación. Obtuvieron acceso al portal web de pagos de AMCA probablemente a través del robo de credenciales o una vulnerabilidad sin parchear y luego mantuvieron acceso persistente y silencioso durante aproximadamente ocho meses mientras la brecha pasaba desapercibida. Durante ese período, cada paciente que realizó un pago a través del portal en línea de AMCA tuvo sus datos recolectados. El ataque no fue descubierto por el propio monitoreo de seguridad de AMCA. Fue identificado por una firma externa de ciberseguridad que encontró datos de tarjetas de pago robados de AMCA a la venta en la dark web.

El Problema de los Proveedores Terceros que Toda PYME Tiene

El aspecto de la brecha de AMCA más relevante para las pequeñas empresas es lo que ilustra sobre el riesgo de proveedores terceros. Quest Diagnostics y LabCorp no fueron hackeadas directamente. Su proveedor lo fue. Y la postura de seguridad de ese proveedor que aparentemente ninguna de las dos empresas de salud había auditado con rigor se convirtió en su responsabilidad catastrófica.

Cada pequeña empresa tiene su propio equivalente de AMCA: el proveedor de software de nómina, la empresa de soporte de IT, el proveedor de respaldo en la nube, el proveedor de terminales de punto de venta. Si alguno de esos terceros es vulnerado, tus datos y los datos de tus clientes quedan expuestos. Y en la mayoría de las pequeñas empresas, nadie está monitoreando el acceso de proveedores, auditando la seguridad de los proveedores o incluso manteniendo una lista de qué proveedores tienen acceso a qué sistemas.

• Inventaría a cada proveedor tercero con acceso a tus sistemas o datos
• Pregunta a cada proveedor directamente: ¿qué certificaciones de seguridad tienes? ¿Cómo detectas una brecha? ¿Cuál es tu plazo de notificación si descubres un incidente que afecta mis datos?
• Aplica el principio de mínimo privilegio al acceso de proveedores solo deben acceder a lo que necesitan para su función específica
• Revisa las credenciales de acceso de proveedores trimestralmente y revoca las que ya no se necesitan activamente
• Verifica si tu seguro de responsabilidad cibernética cubre incidentes que se originan en una brecha de un proveedor

Tendencias de Brechas de Salud de 2019: El Panorama Completo

La brecha de AMCA fue la más visible, pero 2019 fue un año récord en todo el sector salud. El portal de brechas del Departamento de Salud y Servicios Humanos registró más de 500 brechas de salud significativas que afectaron a más de 41 millones de registros de pacientes. Los vectores de ataque dominantes fueron: hackeo e incidentes de IT (la mayoría), acceso no autorizado y, aún, el robo de dispositivos físicos como laptops sin cifrar.

Lo que las Pequeñas Empresas Fuera del Sector Salud Pueden Aplicar Hoy

• Implementa monitoreo de la dark web: Varios proveedores de IT administrado, incluido SNS, incluyen monitoreo de la dark web que te alerta cuando las credenciales de tu empresa aparecen en volcados de datos de brechas antes de que los atacantes las usen.
• Habilita la detección de brechas, no solo la prevención: La mayoría de las pequeñas empresas invierten en seguridad perimetral (firewalls, antivirus) pero no tienen capacidad de detección. EDR, monitoreo de registros y detección de anomalías te dan la oportunidad de atrapar a un intruso que ya está dentro.
• Conoce tus obligaciones de notificación de brechas: La Ley de Protección de Información de Florida (FIPA) requiere notificación dentro de 30 días de descubrir una brecha que afecta a residentes de Florida. Si procesas datos de pago, PCI DSS tiene sus propios requisitos de notificación. Conoce los tuyos antes de necesitarlos.
• Prueba tu respuesta a incidentes: ¿Cuándo fue la última vez que simulaste lo que harías en las primeras 4 horas de una brecha? La mayoría de las pequeñas empresas nunca lo han hecho, y el caos de un incidente real hace que cada decisión sea más difícil y costosa.