Ransomware en Medica Shuppan (unas 641.000 personas): qué deben hacer lectores médicos, autores y editoriales

La empresa indica que contacta de forma individual, por fases, con las personas que fueron o pudieron haber sido afectadas. También indica que, cuando el aviso directo es difícil, la publicación en su sitio web lo sustituye.

Los usuarios de Medica ID, los compradores de sus libros y revistas, los asistentes a seminarios, los autores y profesores, las personas de hospitales, centros y organizaciones que externalizaron trabajos en ella, y sus empleados y solicitantes de empleo pueden estar incluidos aunque no hayan recibido aviso. Para comprobarlo, contacte con el centro de atención al cliente de Medica Shuppan (0120-276-115 o 06-6398-5008 en Japón, de 9:00 a 17:00, cerrado fines de semana y festivos). Use el número del sitio web oficial de la empresa, no uno escrito en un correo electrónico.

El 1 de mayo, la empresa advirtió de que se habían detectado correos electrónicos que se hacían pasar por ella. Dicen cosas como «ha habido un acceso no autorizado», «sus datos personales pueden haberse filtrado» o «debe restablecer su contraseña», y dirigen a una página donde se pide introducir datos personales.

La empresa afirma que nunca pide introducir o confirmar datos personales o confidenciales por correo electrónico, y que los datos personales solo pueden introducirse en su sitio oficial. Aunque el campo del remitente muestre una dirección del dominio propio de la empresa, la empresa afirma que esos correos no fueron enviados por ella. El campo del remitente no es prueba de nada (véase ¿Qué es el phishing?).

El correo falso de muestra que publicó la empresa incluía contraseñas de acceso y parte de datos de tarjetas de crédito entre la información que podría haberse filtrado. Los avisos reales dicen lo contrario: las contraseñas de Medica ID se gestionan por separado y no pudieron filtrarse, y su sistema de ventas en línea no conserva datos de tarjetas de crédito.

Un correo que enumera datos filtrados que contradicen los avisos oficiales y le apremia a seguir un procedimiento ya es motivo suficiente para sospechar.

Cuando una lista de profesionales sanitarios está en riesgo, los mensajes falsos no tienen por qué ser «avisos de filtración». Los pretextos cotidianos para el personal sanitario son verosímiles (valoración de este sitio):

• renovaciones de suscripciones
• invitaciones a seminarios en línea
• trámites de inscripción en sociedades científicas o de créditos de formación (puntos)
• facturas por material de estudio

También en estos casos, no use el enlace ni el número de teléfono del mensaje; compruebe a través del sitio oficial del organizador que abra usted mismo, o a través del departamento correspondiente de su centro de trabajo. Si llegó a su dirección laboral, compártalo con el personal informático de su hospital o centro para que los compañeros que reciban el mismo correo falso tengan menos probabilidades de caer.

Los datos de autores y contratistas incluyen números de cuenta bancaria. Un importante banco japonés advierte de que si un tercero conoce su PIN además de su número de cuenta, puede provocar retiradas no autorizadas a través de la banca en línea, y afirma que nunca pide el PIN por teléfono ni le hace introducirlo mediante una guía de voz automatizada. La Asociación de Banqueros de Japón afirma igualmente que nunca pide PIN ni contraseñas.

No responda a mensajes que, bajo el pretexto de «confirmar la cuenta para el pago de su manuscrito» o «tramitar sus honorarios», pidan un PIN, el ID y la contraseña de banca en línea o una contraseña de un solo uso. Active las alertas de transacciones en la banca en línea o en la aplicación de su banco, y contacte con su banco si ve una operación que no reconoce.

Los My Number solo se incluyen en el caso de autores y contratistas que los registraron. Normalmente un My Number nunca cambia, pero según el artículo 7, apartado 2, de la Ley del My Number, cuando se compruebe que el número se ha filtrado y puede usarse de forma indebida, el alcalde puede asignar uno nuevo, por ejemplo a petición de la persona. Primero confirme con el servicio de la empresa si sus datos están incluidos y, si es necesario, consulte con el municipio en el que está empadronado.

Se dice que las contraseñas de Medica ID no están en riesgo, pero la empresa recomienda cambiarlas periódicamente. Si usa la misma contraseña en otro lugar, cámbiela (véase cómo elegir un gestor de contraseñas). En Japón, estos servicios públicos pueden ayudar:

• Correos falsos: reenvíelos al Consejo Japonés contra el Phishing (Council of Anti-Phishing Japan)
• Preocupaciones técnicas, como haber introducido datos o usado un dispositivo dudoso: el Servicio de Consulta de Seguridad de la IPA (03-5978-7509, de 10:00 a 17:00, cerrado fines de semana, festivos y Año Nuevo)
• Fraude o sospechas de él: la línea de consulta policial #9110

El aviso del 17 de marzo indicaba que la empresa lo anunciaba públicamente primero porque ni siquiera podía acceder a su lista de contactos. Cuando el ransomware detiene los sistemas de negocio, la propia lista necesaria para avisar individualmente a las personas afectadas puede quedar inutilizable.

Guarde los datos de contacto de socios, autores y clientes clave en una copia de seguridad separada de la red de negocio (sin conexión o con gestión separada), y pruebe periódicamente que realmente puede restaurarse (véase fundamentos de las copias de seguridad (regla 3-2-1)).

La empresa afirma que el punto de partida fue un tercero que entró en su red interna con credenciales de cuenta legítimas. Si incluso un único punto de entrada —una VPN (para conectarse a la red interna desde fuera), el escritorio remoto o una consola de administración en la nube— acepta solo una contraseña, se convierte en el punto débil de todo lo demás.

El primer paso es enumerar cada punto de entrada accesible desde el exterior y comprobar que la autenticación multifactor se aplica a cada uno. La empresa también incluye, entre las medidas adoptadas, el refuerzo de la autenticación de ID y de la seguridad, y, entre las previstas, el fortalecimiento de su plataforma de autenticación para evitar accesos no autorizados. Casos del mismo tipo se recopilan en filtraciones de 2026 que se produjeron con credenciales legítimas.

Los elementos del tercer informe muestran que los datos de contacto de los lectores, los números de cuenta y My Number de los autores, los resultados de chequeos de salud confiados y las evaluaciones de empleados quedaron dentro del alcance de un mismo ataque.

Guarde los My Number necesarios para la documentación fiscal y los números de cuenta usados para pagos en un lugar separado con accesos independientes, y elimine los datos una vez realizados los pagos y cuando ya no sean necesarios. Si los datos están separados, una intrusión en un punto expone menos tipos de datos.

Además, como defensa frente a correos falsos que usen su dominio, revise SPF, DKIM y DMARC, lo que facilita explicar a los clientes cómo reconocer sus correos reales.