SE FILTRA INFORMACIÓN DE SALUD DE MÁS DE 2 MILLONES DE MEXICANOS
Más de dos millones de expedientes de pacientes mexicanos son revelados
Expertos de seguridad en redes informáticas del Instituto Internacional de Seguridad Cibernética reportan que una base de datos MongoDB que almacena la información de atención médica de más de 2 millones de pacientes en México quedó expuesta, revelando información sensible de los pacientes.
El 3 de agosto pasado investigadores de seguridad en redes informática se encontraron publicada en línea la información; la base de datos incluye nombres completos, CURP (un código de identidad único para ciudadanos y residentes de México), números de pólizas de seguro y fechas de vencimiento, fechas de nacimiento y domicilios de 2 millones 373 mil 764 pacientes, e incluso se encontraron contraseñas de administrador de la base de datos y correos electrónicos.
La información también fue indexada por el motor de búsqueda de Internet de las Cosas (IoT) Shodan y fue visible y accesible para cualquier persona sin la necesidad de una contraseña.
Toda la información de los pacientes que los investigadores encontraron estaba relacionada con el estado de Michoacán, pero los especialistas en seguridad en redes informáticas no pudieron determinar quién dejó sin protección la base de datos. Los investigadores mencionaron que la información parecía ser propiedad de la empresa Hova Health, una organización centrada en dos áreas principales: telemedicina y desarrollo de software para el sector de la salud.
“Problemas de esta naturaleza se han presentado en MongoDB al menos desde marzo de 2013”, afirman los encargados de la investigación. “La compañía actualizó su software y han publicado pautas de seguridad constantemente. Sin embargo, ya han pasado cinco años y estas bases de datos aún se encuentran ampliamente disponibles en Internet, debe haber alrededor de 54 mil de ellas ahora”, según los especialistas en seguridad en redes informáticas.
En noticias relacionadas, un incidente similar afectó los registros de votantes mexicanos hace algunos años, en el que los datos de 93 millones de votantes quedaron expuestos por un servidor MongoDB mal configurado. Acorde a especialistas en seguridad en redes informáticas puede que esto suceda a menudo porque alguien instala una base de datos MongoDB sin configurarla de forma segura.
Entre los fallos de MongoDB, destaca que el servidor de la base de datos se expone de manera predeterminada en todas las interfaces de red, lo que significa que está directamente expuesto a los hackers si el servidor está conectado a Internet y no está protegido adecuadamente. La base de datos MongoDB tampoco requiere autenticación para conectarse de manera predeterminada, lo que significa que cualquier persona con acceso al servidor de la base de datos puede consultar y recuperar datos de ella.
Especialistas en seguridad en redes informáticas agregan que cada vez que una empresa de gestión de datos pasa por alto las medidas de protección adecuadas, la organización en cuestión enfrentará problemas. “Este tipo de información personal se encuentra entre los más sensibles que se puedan imaginar, y proporcionan detalles sobre un individuo que los hackers podrían utilizar para cometer crímenes cibernéticos como spear phishing, chantaje o incluso fraude de identidad”, mencionan los especialistas. “La base de datos, que ni siquiera estaba protegida con contraseña, es un claro ejemplo de por qué las organizaciones necesitan trascender el modelo de autenticación de nombre de usuario/contraseña”, agregan los especialistas en seguridad en redes informáticas.