CalPERS, información de miembros de CalSTRS expuesta en violación de datos

Se divulgó la información personal de aproximadamente 769,000 miembros jubilados de CalPERS violación de datos de terceros que se informó a principios de este mes. CalSTRS también dijo que se vio afectado por la violación y KCRA 3 está tratando de averiguar cuántos de sus miembros se vieron afectados.

CalPERS, el Sistema de Jubilación de Empleados Públicos de California, es el fondo público de jubilación más grande del país. Atiende a más de 2 millones de afiliados en su plan de pensiones ya más de 1,5 millones en su programa de salud.

CalSTRS, el Sistema de Jubilación de Maestros del Estado de California, es el segundo fondo público de jubilación más grande de los Estados Unidos y el sistema de jubilación de maestros más grande. Sirve a más de 947.000 miembros.

CalPERS dijo por primera vez en un comunicado el miércoles que su proveedor externo, PBI Research Services, notificó a la agencia el 6 de junio sobre una vulnerabilidad en la aplicación MOVEit Transfer que ya se solucionó.

PBI CalPERS ayuda a identificar las muertes de miembros y asegura que los pagos correctos lleguen a los jubilados y sus beneficiarios.

CalPERS dijo que la vulnerabilidad de la aplicación permitió que un tercero no autorizado descargara datos como el nombre, el apellido, la fecha de nacimiento y los números de seguridad social. También fue posible acceder a los nombres de los familiares de las personas.

CalPERS dijo que la violación no afectó sus sistemas de información, myCalPERS o miembros activos. Tampoco afecta los pagos de intereses mensuales de los miembros.

Pero además de los miembros jubilados y sus familias, la violación también podría haber afectado a los miembros inactivos que rápidamente se vuelven elegibles para los beneficios, dijo Calpers.

PBI dijo en un comunicado que identificó la vulnerabilidad «a fines de mayo» y que fue «explotada activamente por los ciberdelincuentes».

“PBI reparó rápidamente su instancia de MOVEit, reunió a un equipo de profesionales de ciberseguridad y privacidad, notificó a las fuerzas del orden público federales y se puso en contacto con los clientes potencialmente afectados”, dijo PBI. «Los ciberdelincuentes no tenían acceso a otros sistemas de PBI; solo accedieron al vulnerable portal administrativo MOVEit. PBI trabaja directamente con los clientes afectados para identificar a los consumidores afectados y desarrollar planes de notificación».

Calpers dijo que miles de otras organizaciones también se vieron afectadas por la brecha.

Según Associated Press, el Departamento de Energía de EE. UU. y otras agencias federales estaban en riesgo, junto con más de 9 millones de conductores en Oregón y Luisiana, la Universidad Johns Hopkins, la firma de contabilidad Ernst & Young, la BBC y British Airways.

CalPERS dijo el jueves que comenzará a enviar cartas a los miembros afectados sobre la filtración y les ofrecerá monitoreo crediticio gratuito de Experian durante dos años.

No quedó claro de inmediato si CalPERS había recibido informes de fraude en relación con la infracción. KCRA3 también pregunta por qué la agencia esperó hasta esta semana para anunciar la infracción.

The Associated Press informa que la banda criminal Cl0p, que se cree que es responsable del ataque, está extorsionando a las víctimas.

Los miembros de CalPERS pueden enviar preguntas por correo electrónico sobre la infracción a [email protected] o llamar al 833-919-4735 de lunes a viernes de 6 a. m. a 8 p. m. o los sábados y domingos de 8 a. m. a 5 p. m.

CalPERS dijo que, en respuesta a la infracción, está creando nuevos protocolos para myCalPERS y medidas de seguridad para quienes usan el centro de llamadas o visitan una oficina regional.

«Esta violación externa de información es inexcusable», dijo la directora general de CalPERS, Marcy Frost, en un comunicado. «Nuestros miembros se merecen algo mejor. Tan pronto como nos dimos cuenta de lo que había sucedido, tomamos medidas rápidas para proteger los intereses financieros de nuestros miembros, así como medidas para garantizar la protección a largo plazo».

El jueves, CalSTRS confirmó que también se vio afectado cuando KCRA 3 le preguntó. El sistema dijo que fue notificado el 4 de junio, dos días antes de que CalPERS dijera que fue notificado.

«Este incidente no implicó el acceso no autorizado a la red de CalSTRS», dijo CalSTRS. «CalSTRS está trabajando con PBI para identificar a los miembros de CalSTRS cuya información estuvo involucrada en un incidente de PBI. CalSTRS notificará a los miembros y beneficiarios cuya información personal estuvo involucrada de acuerdo con la ley aplicable».