DentaQuest, el mayor administrador de beneficios dentales de Medicaid y el Programa de Seguro Médico para Niños (CHIP) en Estados Unidos, sufrió un ataque de hackeo que filtró los datos personales de hasta 23,4 millones de personas. Entre la información expuesta se incluyen números de seguro social, números de afiliación a Medicaid y Medicare, y registros de diagnóstico y tratamiento, lo que amplía considerablemente el alcance del daño.
En mayo, ShinyHunters publicó los datos robados en la dark web y afirmó que las víctimas eran 2,6 millones. Las notificaciones oficiales que DentaQuest comenzó a enviar a mediados de julio indicaban más de 15 millones. Después, la cifra reportada por el medio de análisis de seguridad SecurityAffairs superó los 23,4 millones. Según el medio especializado en salud HIPAA Journal, la fuente que reveló la cifra cambió tres veces en apenas tres meses, y el tamaño de la filtración creció cada vez.
Tres días de acceso no autorizado y la filtración en la dark web
Según DentaQuest, un atacante externo accedió sin autorización a la red de la empresa durante tres días, del 17 al 20 de mayo. La compañía afirmó que detectó la intrusión el día 20, bloqueó de inmediato la red y lo notificó a las autoridades. ShinyHunters aseguró haber robado 234 gigabytes de datos y exigió el pago de un rescate. Al fracasar la negociación, publicó los datos robados sin modificaciones en su sitio de filtraciones en la dark web.
Datos de identidad y de tratamiento filtrados del mayor administrador de EE. UU.
Con sede en Wellesley, Massachusetts, DentaQuest es la filial dental estadounidense de la aseguradora de vida Sun Life. También es el mayor administrador de beneficios dentales de Medicaid y CHIP en los 50 estados. Los datos filtrados en este caso incluyen nombres, direcciones, números de seguro social, números de afiliación a Medicaid y Medicare, historiales de diagnóstico y tratamiento, e información de facturación. Se informó que entre los afectados hay un número considerable de menores. DentaQuest ha declarado que gestiona los beneficios dentales de 32 millones de personas en todo Estados Unidos, por lo que los 23,4 millones filtrados representan una parte muy significativa de ese total.
Apoyo a las víctimas, detención de un sospechoso y el reto de seguridad en Corea
DentaQuest informó que ofrecerá a los afectados 24 meses de monitoreo de crédito gratuito y protección contra el robo de identidad. ShinyHunters es el grupo que ha llevado a cabo ataques similares contra varias empresas este año. Según la agencia AP, el 29 del mes pasado se detuvo en los Países Bajos a una persona presuntamente vinculada con el grupo, que quedó detenida durante 90 días.
DentaQuest no opera en Corea del Sur, por lo que los pacientes dentales surcoreanos no se verán directamente afectados por esta filtración. Sin embargo, el hecho de que la seguridad en el sector dental sea un eslabón débil también aplica en Corea del Sur. El sitio web de HASS, una empresa de materiales de prótesis dental estética, también sufrió un hackeo en 2024 que filtró nombres y datos de contacto de sus miembros. Como en el caso de HeyDonto, que ya abordamos antes, cuanto más aumenten los intentos de conectar los registros dentales con las historias clínicas electrónicas médicas, más se ampliará también el alcance de la información filtrada cuando un solo punto sea vulnerado: un desafío pendiente para ambos países.