Violación de datos médicos de Anthem

La filtración de datos médicos de Anthem fue una violación de datos médicos que afectó la información que poseía Elevance Health , conocida en ese momento como Anthem Inc.

El 4 de febrero de 2015, Anthem, Inc. reveló que piratas informáticos criminales habían accedido a sus servidores y potencialmente habían robado más de 37,5 millones de registros que contienen información de identificación personal de sus servidores. ^{[ 1 ]} El 24 de febrero de 2015, Anthem elevó la cifra a 78,8 millones de personas cuya información personal había sido afectada. ^{[ 2 ]} Según Anthem, Inc., la filtración de datos se extendió a múltiples marcas que Anthem, Inc. utiliza para comercializar sus planes de atención médica, incluyendo Anthem Blue Cross, Anthem Blue Cross and Blue Shield, Blue Cross and Blue Shield of Georgia, Empire Blue Cross and Blue Shield, Amerigroup , Caremore y UniCare . ^{[ 3 ]} Healthlink dice que también fue víctima. ^{[ 4 ]} Anthem dice que la información médica y los datos financieros de los usuarios no se vieron comprometidos. Anthem ha ofrecido monitoreo de crédito gratuito a raíz de la filtración. ^{[ 5 ]} Michael Daniel, asesor principal de ciberseguridad del presidente Barack Obama , dijo que cambiaría su propia contraseña. ^{[ 6 ]} Según The New York Times , se piratearon aproximadamente 80 millones de registros de empresas, y existe el temor de que los datos robados se utilicen para el robo de identidad . ^{[ 7 ]} La información comprometida contenía nombres, fechas de nacimiento, identificaciones médicas, números de seguro social , direcciones postales, direcciones de correo electrónico e información laboral, incluidos datos de ingresos. ^{[ 8 ] [ 9 ]}

Los datos fueron robados durante varias semanas el mes anterior al descubrimiento de la filtración de datos. ^{[ 10 ]}

Dado que no se vio comprometida ninguna información médica, Anthem no estaba obligada por ley a cifrar los datos. ^{[ 11 ]} Sin embargo, Anthem se enfrentó a varias demandas colectivas civiles , que se resolvieron en 2017 por un costo de 115 millones de dólares. Anthem no admitió ninguna irregularidad en el acuerdo. ^{[ 12 ]}

Se espera que los datos del ataque se vendan en el mercado negro . ^{[ 13 ]}

Las personas cuyos datos fueron robados podrían tener problemas derivados del robo de identidad durante el resto de sus vidas. ^{[ 14 ]} Anthem tenía una póliza de seguro de US$100 millones para problemas cibernéticos de American International Group . ^{[ 15 ]} Un informe sugirió que todo este dinero podría consumirse en el proceso de notificación a los clientes sobre la violación de seguridad. ^{[ 15 ]}

Anthem contrató a Mandiant , una empresa de ciberseguridad, para que revisara sus sistemas de seguridad y aconsejó a las personas cuyos datos fueron robados que monitorearan sus cuentas y permanecieran vigilantes. ^{[ 16 ] [ 17 ]}

El robo de datos generó temores en general sobre el robo de información médica. ^{[ 18 ] [ 19 ]} Un autor de la Facultad de Derecho de Harvard sugirió que esta filtración de datos podría impulsar una reforma de las prácticas de seguridad y la regulación gubernamental de la seguridad de los datos. ^{[ 20 ]}

Una investigación realizada por varios comisionados estatales de seguros atribuye la filtración a un atacante cuya identidad se mantuvo en secreto, y afirma que probablemente fue ordenada por un gobierno extranjero cuyo nombre se mantuvo en secreto. ^{[ 21 ]} También concluyó que Anthem había tomado medidas razonables para proteger sus datos antes de la filtración y que su plan de remediación fue efectivo para detener la filtración una vez que fue descubierta. ^{[ 21 ]} También señala la fecha de inicio de la filtración como el 18 de febrero de 2014. ^{[ 21 ]} El investigador principal fue el Departamento de Seguros de Indiana (DOI), el principal regulador de Anthem, ya que Anthem tiene su sede en Indiana. ^{[ 22 ]} El Departamento del Interior de Indiana contrató auditores independientes para realizar una evaluación de seguridad en Anthem, la cual concluyó: «Si bien el Equipo de Examen observó deficiencias en la postura de ciberseguridad de Anthem, estas deficiencias no eran, según nuestra experiencia, infrecuentes en empresas comparables a Anthem en tamaño y alcance. Si bien las deficiencias previas a la violación de seguridad afectaron la capacidad de Anthem para reducir la probabilidad de una violación de seguridad y detectarla rápidamente, los controles implementados posteriormente a la violación de seguridad deberían mejorar la capacidad de Anthem para detectar futuras violaciones y permitirle responder de manera más efectiva a un ataque futuro que en este caso». ^{[ 22 ]}

Los reguladores federales también llevaron a cabo una investigación sobre la filtración de datos de Anthem, que resultó en un acuerdo de 16 millones de dólares entre Anthem y el Departamento de Salud y Servicios Humanos (HHS), con diferencia el mayor acuerdo por filtración de datos del HHS. ^{[ 23 ]} Un director del HHS que supervisó la investigación declaró: «La mayor filtración de datos de salud en la historia de EE. UU. justifica plenamente el mayor acuerdo de la HIPAA de la historia. Lamentablemente, Anthem no implementó las medidas adecuadas para detectar a los piratas informáticos que habían accedido a su sistema para obtener contraseñas y robar información privada de las personas». ^{[ 23 ]} El acuerdo del HHS también exigió a Anthem que realizara una evaluación de riesgos y corrigiera cualquier deficiencia identificada en su ciberseguridad, con la supervisión del HHS del progreso de Anthem. ^{[ 23 ]}

Aproximadamente 100 demandas colectivas privadas fueron presentadas contra Anthem por la filtración de datos y consolidadas en un tribunal federal de California, ante la jueza Koh, una autoridad respetada en litigios de filtración de datos. ^{[ 24 ]} Después de una disputa sobre quién debía liderar los esfuerzos del litigio, la jueza Koh nombró a Eve Cervantez de Altshuler Berzon y a Andy Friedman de Cohen Milstein como co-abogados principales, y nombró a Eric Gibbs de Gibbs Law Group y a Michael Sobel de Lieff Cabraser para dirigir un Comité Directivo de Demandantes. ^{[ 25 ]} En 2017, Anthem acordó resolver el litigio por 115 millones de dólares, el mayor acuerdo por filtración de datos hasta ese momento. ^{[ 26 ]} Los abogados solicitaron 38 millones de dólares en honorarios por su trabajo en el caso, pero la jueza Koh redujo la solicitud de honorarios, considerando que solo se justificaban 31 millones de dólares en honorarios. ^{[ 27 ]}

• AnthemFacts , el sitio web de Anthem para brindar soporte a sus clientes cuyos datos han sido vulnerados.
• Litigios por violación de datos , acuerdo en demanda colectiva