Perry Johnson pagará 300.000 dólares por la brecha de datos de 2023

Los fiscales generales de Connecticut, New Jersey, New York y Michigan anunciaron un acuerdo con Perry Johnson Companies por una brecha registrada en marzo de 2023. El incidente afectó a sus filiales de transcripción médica, codificación e imagen médica y expuso información de más de 13 millones de personas.

Según la investigación de la oficina de la fiscal general de New York, Letitia James, los atacantes accedieron a los sistemas utilizando las credenciales de un empleado. La empresa no empleaba autenticación multifactor y los intrusos sustrajeron contraseñas y archivos sin cifrar con datos sanitarios protegidos.

La información comprometida incluía nombres, fechas de nacimiento, domicilios, números de la Seguridad Social, números de cuenta hospitalaria, diagnósticos, datos de seguros e información clínica, incluidos nombres de medicamentos y resultados de pruebas diagnósticas y de laboratorio. La intrusión se prolongó durante dos meses y la empresa supuestamente tuvo conocimiento del incidente después de que los atacantes la alertaran.

El acuerdo obliga a Perry Johnson a crear un programa integral de seguridad de la información y estándares de respuesta a incidentes, además de implantar autenticación multifactor, cifrado y sistemas de gestión de contraseñas. También deberá realizar evaluaciones anuales de riesgos y establecer controles para gestionar la recopilación, el uso, la conservación y la eliminación de datos sanitarios. Si no aplica las reformas, tendrá que pagar 9,7 millones de dólares adicionales a los cuatro estados.

Fuente: The Record.