Medtronic afferma che i dati dei pazienti e sanitari potrebbero essere stati esposti nella violazione di rete di aprile

Medtronic, il produttore di dispositivi medici noto per pacemaker e pompe per insulina, ha informato alcuni pazienti che le loro informazioni personali e sanitarie potrebbero essere state consultate durante un attacco informatico avvenuto all'inizio di quest'anno.

Nelle notifiche relative alla violazione inviate alle persone interessate, l'azienda ha dichiarato di aver rilevato attività sospette il 15 aprile e di aver successivamente concluso che un soggetto non autorizzato aveva avuto accesso ad alcuni sistemi aziendali dal 13 al 19 aprile. I sistemi coinvolti contenevano dati tra cui nomi, informazioni di contatto, date di nascita, numeri di previdenza sociale e dettagli relativi alla salute.

Medtronic ha dichiarato di raccogliere alcune di queste informazioni per supportare gli aggiornamenti dei prodotti e adempiere agli obblighi normativi. L'azienda ha aggiunto di non aver trovato indicazioni che i dati siano stati resi pubblici o pubblicati online, anche se non ha specificato se l'intruso ne abbia copiato delle versioni.

Medtronic afferma che i dispositivi dei pazienti non sono stati interessati

L'azienda ha inoltre cercato di rassicurare i pazienti sul fatto che l'incidente non ha compromesso la sicurezza o il funzionamento dei suoi dispositivi. Nella notifica, Medtronic ha dichiarato che la sua indagine non ha rilevato prove del fatto che un dispositivo sia stato compromesso in modo da impedirgli di erogare la terapia prevista.

Quando la violazione è stata divulgata per la prima volta ad aprile, Medtronic ha dichiarato che l'evento non aveva avuto ripercussioni sulla sicurezza dei pazienti, sulla produzione, sulla distribuzione, sulla rendicontazione finanziaria o sulla sua capacità di servire i clienti. L'azienda ha inoltre osservato che il proprio ambiente aziendale interno è separato dalle reti che supportano i suoi prodotti e che le reti dei clienti ospedalieri sono gestite in modo indipendente.

Poco dopo l'intrusione, il gruppo di estorsione ShinyHunters ha aggiunto Medtronic al proprio sito di divulgazione delle informazioni rubate e ha affermato di aver sottratto oltre nove milioni di record. Il gruppo ha minacciato di pubblicare il materiale a meno che non fosse effettuato un pagamento, anche se l'inserzione è stata successivamente rimossa e nessun dato è stato pubblicato. Medtronic non ha identificato pubblicamente gli aggressori né collegato l'incidente a un gruppo specifico.

La notifica della violazione lascia senza risposta diverse domande, tra cui quante persone siano state coinvolte, come sia stato ottenuto l'accesso e perché la notifica abbia richiesto più di due mesi. Medtronic ha dichiarato di aver aggiunto misure di sicurezza, informato le forze dell'ordine e le autorità di regolamentazione e di offrire alle persone interessate due anni di monitoraggio del credito, monitoraggio del dark web e servizi di ripristino dell'identità.