El Hospital para Niños Enfermos (SickKids) está investigando un incidente de ciberseguridad que involucra una vulnerabilidad en un software de terceros que podría haber expuesto información personal perteneciente a empleados y solicitantes de empleo.
SickKids disclosed the incident el 20 de agosto tras la interrupción temporal de su sitio web externo de Carreras. Según el hospital, la aplicación afectada es suministrada por un tercero y también es utilizada por otras organizaciones. SickKids no ha identificado el software ni a su desarrollador. Desde entonces, la página web de Carreras ha vuelto a funcionar normalmente.
Es importante destacar que el incidente no afectó a los sistemas clínicos ni a la información de los pacientes de SickKids. El hospital también señaló que no hubo interrupciones en la atención al paciente.
Tras descubrir el incidente, SickKids recurrió a especialistas externos en ciberseguridad para investigar lo ocurrido y determinar si la información personal había sido comprometida. La revisión en curso concluyó que la información asociada a varios grupos pudo haberse visto afectada.
Entre los potencialmente afectados se encuentran empleados actuales y antiguos de SickKids, personal de la Fundación SickKids y Boomerang Health, una organización sanitaria pediátrica propiedad de SickKids, así como personas que previamente solicitaron empleo en el hospital.
Aún no se ha establecido el alcance total de la exposición. SickKids no ha revelado cuántas personas pueden estar implicadas ni ha especificado los tipos de información personal a la que se podría acceder. El hospital tampoco ha facilitado públicamente la fecha en que ocurrió la actividad no autorizada.
A personas cuya información podría haberse visto afectada se les ha contactado y se les ha ofrecido dos años de monitorización crediticia gratuita y protección de identidad. SickKids dijo que notificará por separado a las personas si su investigación confirma que su información personal fue comprometida.
La implicación de una aplicación de terceros hace que la fuente del incidente sea especialmente significativa. SickKids confirmó que otras organizaciones utilizan el mismo software, pero actualmente no hay información confirmada que demuestre que esas organizaciones hayan sido vulneradas como parte del mismo incidente.
SickKids afirmó que continúa revisando el incidente mientras refuerza las medidas destinadas a proteger la información personal confiada a la organización.