Indiana notifica a 750K después de que se accedió a los datos de rastreo de COVID-19

Funcionarios de salud de Indiana dijeron el martes que están notificando a casi 750.000 residentes del estado que una compañía de ciberseguridad «accedió indebidamente» a sus datos personales de la encuesta de rastreo de contactos COVID-19 en línea del estado, una descripción que la compañía disputó como una «falsedad».

El Departamento de Salud de Indiana dijo que el 2 de julio se notificó al estado que una empresa obtuvo «acceso no autorizado» a datos, incluidos nombres, direcciones, fechas de nacimiento, correos electrónicos y datos sobre género, etnia y raza.

Las casi 750.000 personas cuyos datos fueron accedidos representan a todos los participantes del estado en su encuesta de rastreo de contactos COVID-19 en línea, dijo la portavoz de la agencia Megan Wade-Taxter.

El comisionado de Salud del estado, Kris Box, dijo que el departamento de salud del estado no recopila información del Seguro Social para su programa de rastreo de contactos COVID-19 y que no se obtuvo información médica.

«Creemos que el riesgo para los hoosiers cuya información fue accedida es bajo», dijo Box en un comunicado de prensa.

Los funcionarios estatales no identificaron a la empresa involucrada en su comunicado de prensa, pero Wade-Taxter dijo que la empresa era UpGuard, una empresa de ciberseguridad con sede en Mountain View, California.

La portavoz de UpGuard, Kelly Rethmeyer, dijo en un comunicado el martes que el comunicado de prensa de Indiana que describe el incidente de acceso a datos incluye «muchas falsedades».

«Por un lado, nuestra empresa no ‘accedió indebidamente’ a los datos. Los datos se dejaron accesibles al público en Internet. Esto se conoce como una fuga de datos», dijo. «No estaba desautorizado porque los datos estaban configurados para permitir el acceso a usuarios anónimos y accedimos a ellos como un usuario anónimo».

Rethmeyer agregó que UpGuard «descubrió esta información filtrada en el curso de nuestra investigación y notificó al Departamento de Salud de Indiana ya que desconocían la filtración».

Añadió que la empresa «ayudó a proteger la información, lo que a su vez se aseguró de que ya no estuviera disponible para nadie con intenciones maliciosas».

Un mensaje en busca de comentarios sobre la declaración de UpGuard se dejó el martes por la tarde en el departamento de salud de Indiana.

Los funcionarios de Indiana dijeron en su comunicado de prensa que UpGuard firmó un «certificado de destrucción» la semana pasada con el estado para confirmar que había destruido los datos y no los había entregado a ninguna otra entidad.

Rethmeyer dijo que UpGuard ha eliminado «todos los datos que tenemos».

La Oficina de Tecnología de Indiana y el departamento de salud del estado agregaron que han corregido un «problema de configuración de software» relacionado con el incidente de acceso a datos. Ambos departamentos también solicitaron los registros accedidos, y estos fueron devueltos el 4 de agosto, según el comunicado de prensa.

«Hemos corregido la configuración del software y haremos un seguimiento agresivo para asegurarnos de que no se transfirieron registros», dijo Tracy Barnes, directora de información de Indiana.

Rethmeyer cuestionó la descripción del estado del problema del software, diciendo que «el ‘problema de la configuración’ es que todos los registros fueron hechos para ser accesibles al público».

El departamento de salud de Indiana dijo que enviará cartas a los hoosiers afectados notificándoles que el estado proporcionará un año de monitoreo crediticio gratuito y se está asociando con Experian para abrir un centro de llamadas para responder preguntas de los afectados.

La Oficina de Tecnología de Indiana dijo que también continuará con las exploraciones periódicas para garantizar que la información no se transfiera a otra parte.

© 2021 The Associated Press. Reservados todos los derechos. Este material no puede ser publicado, difundido, reescrito o redistribuido sin permiso.