OneBlood, una organización sin fines de lucro de donación de sangre, confirma que la información personal de los donantes fue robada en un ataque de ransomware el verano pasado.
OneBlood informó al público por primera vez sobre el ataque el 31 de julio de 2024, señalando que los actores del ransomware habían cifrado sus máquinas virtuales, lo que obligó a la organización de atención médica a recurrir a procesos manuales.
OneBlood es un proveedor de sangre para más de 250 hospitales en todo Estados Unidos, y el ataque provocó retrasos en la recolección, prueba y distribución de sangre, lo que llevó a protocolos de «escasez crítica de sangre» en algunas clínicas.
En ese momento, la organización sin fines de lucro hizo un llamamiento urgente para la donación de O Positivo, O Negativo y Plaquetas, que son universalmente compatibles y pueden utilizarse para transfusiones urgentes.
La semana pasada, OneBlood comenzó a enviar notificaciones de violación de datos a las personas afectadas, informándoles que su investigación sobre el incidente se completó el 12 de diciembre de 2024 y determinó que la fecha exacta de la violación fue el 14 de julio de 2024.
El actor de amenazas retuvo el acceso a la red de OneBlood hasta el 29 de julio, un día después de que la organización de atención médica descubriera la violación.
“Nuestra investigación ha determinado que entre el 14 y el 29 de julio de 2024, ciertos archivos y carpetas fueron copiados de nuestra red sin autorización”, se lee en el comunicado. Notificación de violación de datos de OneBlood.
“La investigación determinó que en los expedientes y registros involucrados figuraban su nombre y número de seguro social”, precisa el mismo documento.
Aunque los centros de sangre suelen recopilar más información, como números de teléfono, direcciones físicas y de correo electrónico, datos demográficos e historiales médicos, los datos expuestos se limitan a nombres y números de seguro social.
Los nombres y números de seguro social pueden usarse potencialmente para cometer robo de identidad y fraude financiero y, como no se pueden cambiar fácilmente, el riesgo persiste durante muchos años.
Para mitigar este riesgo, OneBlood incluyó códigos de activación en la carta para un servicio gratuito de monitoreo de crédito por un año, que los destinatarios de la notificación tienen hasta el 9 de abril de 2025 para aprovechar.
Además, las personas afectadas deberían considerar la posibilidad de congelar el crédito y alertar de fraude en sus cuentas para evitar daños financieros.
Aunque OneBlood cumplió su promesa inicial de notificar a las personas afectadas sobre la posible exposición de sus datos, la demora de seis meses puso a esas personas en riesgo.
No se ha revelado el número de personas afectadas por el ataque del ransomware OneBlood.
