Más de 2,8 millones de registros expuestos en una violación de datos en la empresa de gestión de recetas Sav-Rx

La empresa estadounidense de gestión de recetas Sav-Rx reveló que los registros de más de 2,8 millones de clientes quedaron expuestos en una violación de datos que se produjo en octubre del año pasado.

El primer indicio de la violación se hizo en una presentación ante la Oficina del Fiscal General de Maine, y luego la compañía hizo un seguimiento con una página de preguntas frecuentes sobre su «incidente de seguridad de datos».

Según Sav-Rx, la infracción comenzó cuando la empresa identificó una interrupción en su red informática el 8 de octubre de 2023. Luego, la empresa marcó la lista de respuestas estándar: proteger sus sistemas, permitir que expertos externos en ciberseguridad informen a las autoridades. e iniciar una investigación.

La interrupción de los servicios de TI se solucionó en un día y, como resultado, la atención al paciente no se retrasó. Sin embargo, la investigación también encontró que un tercero autorizado pudo acceder a ciertos sistemas no clínicos y obtener archivos que contenían información.

Los clientes afectados fueron aquellos en el sistema de gestión de beneficios de medicamentos de Sav-Rx, pero no los clientes de farmacias. A los clientes afectados se les ofrece acceso gratuito a 24 meses de seguimiento crediticio.

La forma de la infracción no fue revelada. Dada la escasa información proporcionada por la empresa, es difícil decir si se trata de ransomware, pero no sería sorprendente que lo fuera: el robo de datos y los sistemas fuera de línea suelen indicar ransomware.

Los hackeos abundan, pero la forma en que las empresas reaccionan ante un hackeo e informan a sus clientes es una buena prueba de si una empresa está actuando de buena fe o no. Si bien Sav-Rx afirma que solo obtuvieron los resultados de la investigación el 30 de abril, el hack ocurrió en octubre y ahora solo informa a los clientes a fines de mayo.

«No creo que los ocho meses que le tomó a Sav-Rx notificar a los clientes afectados sobre la violación vayan a funcionar con nadie, y menos aún con sus clientes», Roger Grimes, evangelista de defensa basado en datos de la firma de capacitación en concientización sobre seguridad KnowBe4 Inc. . ., dijo SiliconANGLE. “Hoy en día, la mayoría de las empresas notifican a los clientes afectados en un plazo de días a algunas semanas. ¿Ocho meses? Quienquiera que haya tomado esa decisión probablemente será objeto de críticas y tendrá que dar una explicación».

Foto de : Sav-rx