Francia se encuentra en estado de alerta en lo que a seguridad cibernética se refiere después de haber sido víctima del mayor ciberataque en su historia, que comprometió los datos de más de 33 millones de personas, casi la mitad de su población.
Dos compañías, Viamedis y Almerys, son proveedores de servicios para compañías de seguros médicos. Estas empresas fueron víctimas de un ciberataque que ocurrió con cinco días de diferencia a principios de febrero.
La CNIL, Commission Nationale de l’Informatique et des Libertés, autoridad de control en materia de protección de datos en Francia, fue notificada por Viamedis y Almerys sobre los ataques informáticos sufridos. Estos operadores, que gestionan el pago directo de las compañías de seguros complementarias de salud, vieron comprometidos los datos personales que usan normalmente para sus funciones.
Según el primer proveedor, Viamedis, los delincuentes informáticos realizaron phishing y utilizaron los inicios de sesión de profesionales de la salud para acceder al sistema.
Almerys afirmó que los ciberdelincuentes no habían violado su sistema central, pero habían accedido a un portal utilizado por profesionales de la salud. Ambos proveedores han presentado denuncias ante el fiscal público y se está llevando a cabo una investigación.
¿Qué datos fueron robados?
En total, esta filtración de datos afecta a más de 33 millones de personas. Los datos revelados son, para los asegurados y sus familiares, el estado civil, la fecha de nacimiento y el número de seguridad social, el nombre del asegurador de salud y las garantías del contrato suscrito.
Datos como la información bancaria, los datos médicos, los reembolsos de salud, las direcciones postales, los números de teléfono o los correos electrónicos no estarían afectados por el incidente.
¿Cuáles son las consecuencias?
Tras los ataques ciberneticos el «tiers payant», un sistema de pago en el que el paciente no tiene que pagar el costo total de los servicios médicos por adelantado, puede no estar disponible para ciertos profesionales de la salud, pero seguirá estando disponible para los pacientes.
La CNIL advirtió a los usuarios sobre los riesgos de phishing que tienen a partir de ahora, especialmente porque los nuevos datos filtrados podrían combinarse con otra información de filtraciones de datos anteriores.
Los usuarios deben tener especial cuidado al verificar la autenticidad de correos electrónicos, mensajes de texto y llamadas que afirmen ser de organizaciones oficiales. Las personas cuyos datos se vieron comprometidos serán contactadas individualmente por su seguro de salud para cumplir con las directrices del RGPD.
Investigación de lo ocurrido
El 7 de febrero, la CNIL anunció que estaba abriendo una investigación, especialmente para evaluar si Viamedis y Almerys han tomado las medidas apropiadas en el tiempo debido, como lo requiere el Reglamento General de Protección de Datos (RGPD).
Dada la magnitud de esta violación, la presidenta de la CNIL ha decidido llevar a cabo investigaciones exhaustivas para determinar si las medidas de seguridad implementadas antes y después del incidente cumplían con las obligaciones establecidas por el RGPD.
La responsabilidad de aviso a los afectados recae en cada una de las compañías de seguros complementarias que utilizan los servicios de Viamedis y Almerys para informar individual y directamente a todas las personas afectadas, tal como lo exige el Reglamento General de Protección de Datos (RGPD). La CNIL supervisará que este proceso se lleve a cabo lo más pronto posible.
Organismos gestores de la Ciberseguridad en Francia
En Francia, la ciberseguridad es gestionada por diversas entidades y organismos, tanto del sector público como del sector privado. Entre los principales actores en este ámbito se encuentran la Agencia Nacional de Seguridad de Sistemas de Información (ANSSI), encargada de proteger los sistemas de información críticos del país y coordinar la respuesta a incidentes de seguridad informática.
La Comisión Nacional de Informática y Libertades (CNIL), aunque su enfoque principal es la protección de datos personales, también desempeña un papel importante en la promoción de la seguridad de la información y la sensibilización sobre las amenazas cibernéticas.
Asimismo, tanto la Gendarmería Nacional como la Policía Nacional cuentan con unidades especializadas en ciberseguridad, dedicadas a investigar y combatir delitos cibernéticos. Por último, el Ministerio de Economía y Finanzas supervisa la seguridad cibernética en los sectores financieros y económicos, colaborando estrechamente con ANSSI en la protección de infraestructuras críticas.
