El 29 de abril, el gigante sanitario Kaiser Permanente reveló una filtración de datos que afectó a 13,4 millones de miembros actuales y anteriores de su seguro médico. El incidente tuvo su origen en scripts de terceros gestionados de forma incorrecta.
El incidente
Kaiser Permanente utilizaba códigos de seguimiento para monitorizar cómo sus miembros navegaban por su sitio web y aplicaciones móviles. Algunas de estas páginas contenían datos sanitarios sensibles, lo que provocó que los scripts de terceros transmitieran inadvertidamente información a proveedores externos que no debían tenerla.
Aunque la brecha no fue el resultado de un secuestro de scripts, pone de manifiesto una supervisión significativa en el manejo de scripts de terceros dentro del sector sanitario y más allá.
El incidente también evidencia un problema más amplio: los equipos de ingeniería reciben con frecuencia solicitudes puntuales para implementar scripts de terceros elegidos por los equipos de marketing, datos o legal. Esto puede llevar a que los ingenieros implementen el script sin contexto suficiente y lo desplieguen en todo el sitio. Funciona, pero ahora toca datos que no debería.
Es probable que no existieran las herramientas adecuadas para detectar o prevenir este problema.
Los riesgos
El problema central no era una intención maliciosa, sino la falta de comprensión y una divulgación inadecuada del código de seguimiento utilizado. Los datos compartidos incluían nombres, direcciones IP, páginas visitadas, estado de inicio de sesión del usuario y términos de búsqueda utilizados en la enciclopedia de salud en línea de Kaiser. Aunque este tipo de scripts de seguimiento son muy comunes, en el sector sanitario deben cumplir con normativas de privacidad como la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA) y otras.
Los riesgos de una divulgación inadecuada
Los proveedores de atención médica manejan información sensible, y cualquier filtración de datos puede tener graves repercusiones. Aunque los datos compartidos por Kaiser podrían no clasificarse como información de salud protegida electrónicamente (ePHI), la brecha podría acarrear sanciones y, casi con certeza, daños a la reputación de la empresa. El incidente pone de manifiesto que muchas empresas con sólidos equipos de seguridad y cumplimiento normativo siguen sufriendo una mala gestión de los scripts de terceros. Un problema que vemos con demasiada frecuencia.
Una solución práctica
Para abordar este tipo de problemas, las empresas pueden implementar Políticas de Seguridad de Contenido (CSP) robustas para gestionar los scripts de terceros en páginas sensibles. Aunque esta solución tiene algunos inconvenientes, como el ruido en los registros de consola, mitiga eficazmente el riesgo de compartir datos sin autorización.
Lo ideal, en lugar de desplegar scripts de forma global, sería utilizar renderizado condicional: definir en qué páginas deben cargarse los scripts.
Con cside, también puedes gestionar tus scripts de terceros de una forma más ordenada, permitiéndote ver qué scripts se ejecutan en páginas específicas y proteger a tus usuarios de cualquier código malicioso que pudiera renderizarse.
cside
cside puede detectar la presencia de scripts en páginas que contienen información sensible, permitiendo crear reglas detalladas y autogeneradas para bloquear su entrega sin generar ruido en los registros de consola en páginas con datos sensibles.
Para abordar la seguridad de los scripts de terceros, nuestra solución analiza los scripts antes de que lleguen al navegador del usuario. Mediante la intermediación de scripts y el uso de inteligencia artificial para detectar intenciones maliciosas, cside garantiza que las amenazas potenciales se neutralicen antes de que puedan causar daño. Este enfoque proactivo, combinado con el análisis de contexto histórico, permite una monitorización y respuesta eficaz ante brechas de seguridad relacionadas con scripts de terceros.
Naturalmente, también monitorizamos todos los scripts, lo que significa que, con nosotros en funcionamiento, este problema podría haberse evitado.
