Advanced multada con £3M por ciberataque que expuso los datos de 79,000 pacientes del NHS

Un importante proveedor de software del NHS fue multado con £3.07 millones por no implementar las medidas de seguridad adecuadas antes de un ataque de ransomware en 2022 que expuso los datos personales de 79,000 personas, según lo confirmó el regulador de protección de datos del Reino Unido (ICO).

Advanced Computer Software Group Ltd (Advanced) recibió una sanción de la ICO por violar las regulaciones de protección de datos debido a que sus sistemas carecían de una implementación completa de autenticación multifactorial (MFA).

Los atacantes aprovecharon esta debilidad de seguridad para irrumpir en la filial de salud y cuidado de la compañía y robar datos sensibles, al mismo tiempo que interrumpían los servicios del NHS 111, según lo señalado por el ICO.

John Edwards, quien se desempeña como Comisionado de Información del Reino Unido, expresó su decepción acerca de las debilidades de seguridad encontradas en las operaciones de la filial de Advanced.

“Aunque Advanced había instalado la autenticación multifactor en muchos de sus sistemas, la falta de cobertura completa significaba que los hackers podían obtener acceso, poniendo en riesgo la información personal sensible de miles de personas”, declaró según lo informado por ICO

“Las personas nunca deberían tener que pensar dos veces sobre si sus registros médicos están en manos seguras. Para usar los servicios con confianza, deben poder confiar en que cada organización que entra en contacto con su información personal, ya sea usándola, compartiéndola o almacenándola en nombre de otros, está cumpliendo con sus obligaciones legales para protegerla”, agregó.

El grupo de ransomware LockBit llevó a cabo un ataque que provocó extensos cortes de sistema en toda la red. Los trabajadores de la salud perdieron su capacidad para acceder a los registros de los pacientes, mientras que los detalles de entrada al hogar de 890 personas que reciben atención domiciliaria quedaron expuestos a partes no autorizadas, según informó la BBC.

Inicialmente, la ICO había fijado la multa en £6.09 millones antes de reducirla debido a la cooperación de Advanced con las agencias de aplicación de la ley y de ciberseguridad como el Centro Nacional de Seguridad Cibernética (NCSC) y la Agencia Nacional de Crimen (NCA).

La empresa aceptó la decisión de la ICO sin impugnación y eligió no presentar una apelación.