Responsabilidad empresarial, phishing y ransomware

Magellan Health Care sufre una violación de datos

Magellan Health Care, con sede en Arizona, ha notificado a varios de sus empleados una violación de datos. Tanto para los empleados como para los pacientes, se ha producido un incidente que ha puesto en peligro sus datos personales. Magellan Health es una empresa incluida en la lista Fortune 500 que ofrece varios planes de salud, prestaciones farmacéuticas y otras formas de atención sanitaria gestionada. El 11 de abril de 2020, la empresa se dio cuenta de que había sido víctima de un ataque de ransomware. Tras el descubrimiento, se observó que la brecha se había producido cinco días antes. El sistema fue invadido a través de un esquema de phishing de ingeniería social que se les presentó como un cliente válido de Magellan.

Una vez descubierto, la empresa inició una investigación de la brecha. Contrataron a una empresa forense de ciberseguridad con profesionales cualificados para determinar los detalles del ataque. Dichos profesionales determinaron que los ciberdelincuentes habían accedido a los datos de un único servidor y los habían filtrado, lo que incluía datos personales tanto de empleados como de pacientes.

Phishing

¿Qué es el phishing y cómo funciona? El phishing es un ciberdelito en el que los delincuentes utilizan señuelos para conseguir que las personas faciliten información sensible, como números de tarjetas de crédito. El contacto con la víctima puede realizarse de varias formas, por correo electrónico, teléfono o mensaje de texto.

El “phishing” es un ciberdelito en el que uno o varios objetivos son contactados por correo electrónico, teléfono o mensaje de texto por alguien que se hace pasar por una institución legítima para inducirles a facilitar datos sensibles, como información personal identificable, datos bancarios y de tarjetas de crédito y contraseñas.

La primera persona condenada por “phishing” fue un chico de 14 años de California. El adolescente había creado una réplica de America Online. A través de su sitio web falso, accedió a información confidencial de la cuenta, incluidos los datos de la tarjeta de crédito, que luego utilizó para obtener dinero en efectivo.

He aquí algunos rasgos comunes que hay que buscar en los tipos de comunicaciones de phishing.

• Remitente desconocido – Fíjese siempre en los datos del remitente. Si recibes comunicaciones de alguien que no conoces y en quien no confías, bórralas inmediatamente. Si algo de un correo electrónico o mensaje le parece poco característico de un remitente que conoce, o es inesperado, sospechoso o cualquier otra cosa que le parezca fuera de lo normal, no haga clic en él.
• Demasiado bueno para ser verdad – Muchos señuelos de phishing contienen ofertas lucrativas. El remitente utilizará detalles que llamen la atención y fotos llamativas; algunos pueden incluso reflejar sitios web reales. Están diseñados intencionadamente para atraer su atención o inducirle a una falsa sensación de seguridad. Si recibe una notificación de que ha ganado un premio en un concurso en el que ni siquiera ha participado, recuerde que si parece demasiado bueno para ser verdad, probablemente lo sea.
• Sentido de urgencia – Los ciberdelincuentes suelen presentar un sentido de urgencia en su planteamiento. Pueden pedirle que “actúe rápido” u ofrecerle una gran oferta sólo durante un tiempo limitado. Otro método de presentación urgente es amenazar con la suspensión de la cuenta u otro medio que le obligue a actualizar sus datos personales. Recuerde que la mayoría de las empresas y otras organizaciones ya no envían correos electrónicos o llamadas telefónicas en los que solicitan información personal. Si le preocupa, no haga clic en el enlace, vaya directamente al sitio web de la empresa a través de su navegador o incluso llámela directamente. Siempre que reciba este tipo de comunicaciones, es mejor no hacer clic en ellas y simplemente ignorarlas.
• Hiperenlaces – Si no está seguro de la fuente, no haga clic en los enlaces. Estos enlaces pueden no ser lo que parecen. Si pasa el ratón por encima del enlace, puede mostrarle la URL real a la que se le dirigirá, así que utilícela para verificar el sitio al que se le llevará. Asegúrese también de comprobar la ortografía; un ejemplo es que el enlace puede parecer legítimo, pero tal vez se sustituya una “n” por una “r”, de modo que puede pasar por alto el detalle de que estaba mal escrito. En caso de duda, siempre puede acceder directamente al sitio sin utilizar el enlace.
• Archivos adjuntos – ¿Sabía que el único archivo en el que siempre es seguro hacer clic es un archivo .txt? Si recibes un archivo adjunto en un correo electrónico del que no estás seguro, no lo abras. Muchas veces, este tipo de archivos adjuntos contienen virus u otras cargas útiles, como ransomware. Siempre tiene la oportunidad de comprobar con el remitente la validez de cualquier archivo adjunto.
• Detalles inusuales – Es fácil informarse sobre los diferentes detalles incluidos en un correo electrónico. Puedes aprender a identificar al remitente; un ejemplo sería si el remitente te presenta un correo de Microsoft, y al comprobar la dirección de envío, y no se trata de una cuenta corporativa de Microsoft, ¡no hagas clic!

El ransomware es un tipo de malware y una forma de criptovirología. La criptovirología abarca el campo de estudio en el que se utiliza el cifrado o la criptografía para diseñar software malicioso. Estos tipos de malware utilizan una “clave pública” contenida en el malware, que da acceso al contenido del dispositivo o sistema informático. Esta clave pública permite entrar por una trampilla unidireccional y controlar el contenido de un sistema. Esto significa que sólo el hacker puede deshacer ciertas operaciones en el ordenador de la víctima.

Existen diferentes tipos de ransomware. Algunos son bastante simples, y cuando un experto revisa el sistema, se puede revertir. Estos tipos de ransomware bloquean el sistema, que puede desbloquearse con conocimientos sobre el funcionamiento de estos tipos de malware. El segundo tipo de ransomware utiliza una clave de cifrado y, sin la clave, puede ser imposible desbloquear los datos para recuperarlos. El malware avanzado utiliza la extorsión de la víctima para quedarse con su dinero como pago por darle la clave de sus datos. Muchas víctimas de ransomware deben pagar estos fondos en monedas digitales o criptomonedas como Ukash o bitcoin. De este modo, el pago y el autor del ciberdelito resultan difíciles de rastrear para las autoridades.

Legislación sobre privacidad

Las empresas de todo el mundo están ahora obligadas a seguir algunos tipos de legislación sobre privacidad. El Reglamento General de Protección de Datos (RGPD) y la Ley de Privacidad del Consumidor de California (CCPA) son dos ejemplos. La legislación sobre privacidad es fundamental, ya que exige a las empresas y negocios que se responsabilicen de la información de identificación personal (IPI) que sus consumidores les confían. Esta normativa exige que las empresas sean proactivas en su enfoque de la ciberseguridad y la protección de los datos personales.

Incluso en el caso de ser pirateada o violada por un ciberdelincuente, la empresa sigue siendo responsable de los datos perdidos. En California, las sanciones por violar la privacidad de los consumidores pueden consistir en cuantiosas multas económicas para el Estado y en indemnizaciones para cada ciudadano cuya información haya sido víctima. En virtud de la CCPA, las sanciones por pérdida de datos a través de la actividad ciberdelictiva pueden conllevar demandas colectivas y hasta 750 dólares por daños y perjuicios legales para cada residente californiano afectado. Sabiendo que estas normativas sobre privacidad afectan a los resultados y a la reputación de todos los negocios y empresas, merece la pena invertir en encontrar soluciones para proteger los datos de los consumidores. La respuesta es que la redacción puede ser una solución para el cumplimiento de la normativa.

Redacción y privacidad de datos

El saneamiento es un proceso de datos que elimina datos sensibles, como la IPI, de documentos u otras formas de archivos. La censura es una forma de saneamiento. La censura consiste en tachar o eliminar texto o datos. El saneamiento es una forma de tomar un documento clasificado, eliminar cualquier dato sensible y dejar un registro de clasificación inferior para que más personas puedan acceder a los datos restantes.

La redacción permite la divulgación selectiva de información mediante la eliminación de los datos identificativos. El proceso de redacción significa que algunos datos se eliminan por completo, dejando el resto del documento para ser manejado o procesado por empleados u otras personas que necesiten trabajar con materiales. La redacción puede consistir en la eliminación de datos de registros, archivos pdf, audio o vídeo. El proceso permite que los datos restantes se pongan a disposición de empleados sin ciertos niveles de acceso o incluso del público a través de las solicitudes de la Ley de Libertad de Información (FOIA). La finalidad de la redacción es proteger los datos sensibles de los ciberdelincuentes, las filtraciones u otros ataques malintencionados. Si los datos almacenados en el sistema han sido saneados y se ha eliminado la IIP, la pérdida de dichos datos reducirá significativamente el riesgo para los afectados.

CaseGuard se ha convertido en un líder global en las industrias de redacción y privacidad. Utilizar el software de redacción de CaseGuard es una forma de proteger la reputación de una empresa. Una empresa que pierde su reputación se da cuenta de que esto puede significar una pérdida de confianza de los consumidores y repercutir en su cuenta de resultados. El software de redacción de CaseGuard permite a las empresas defenderse de forma proactiva.

El software de redacción automatizada inteligente protege los datos confidenciales de la exposición y la inteligencia artificial, y las técnicas de aprendizaje automático se vuelven más precisas con el uso. Las funciones de automatización también ahorran tiempo al reducir las horas de trabajo de los empleados que se ocupan de la redacción manualmente. El uso de un programa de software de redacción de calidad diseñado para satisfacer las necesidades de todas las formas de datos dentro de una empresa también ahorra dinero. Al reducir el riesgo para la reputación, la confianza del consumidor y cualquier sanción por infracciones, la empresa sigue cumpliendo la legislación sobre privacidad.

Algunas de las funciones adicionales del sistema CaseGuard permiten utilizar mejor los datos, el audio o el vídeo para ampliar el alcance del mensaje de la empresa. Con el software de redacción que se puede utilizar a través de un iPhone, una empresa puede transmitir en directo eventos o información de la empresa a través de vídeo en plataformas de medios sociales. Las funciones adicionales del software amplían el alcance del mensaje de la empresa al tiempo que protegen la privacidad de las personas que aparecen en los vídeos. La aplicación de software también puede traducir datos a 28 idiomas diferentes, ampliando el alcance de la plataforma de la empresa a más consumidores. También incluye funciones de subtitulado, transcripción y edición de vídeo. Caseguard ofrece un sistema de software todo en uno que permite redactar y editar vídeo, audio, imágenes y documentos en cuestión de minutos.