El SES ha enviado 25.824 comunicaciones a los 18.416 pacientes a los que robaron el historial médico

El 5 de octubre, alguien lanzó un acceso automatizado y masivo contra el portal Centro de Salud Online del Servicio Extremeño de Salud (SES) desde un servidor virtual anónimo alojado en el extranjero. El SES detectó el ataque el mismo día, pero el atacante ya se había llevado la información clínica de 18.416 pacientes: más de 334.000 registros sobre su salud. Tres semanas después, la Policía Nacional detenía en Mérida al presunto autor del ciberataque al SES.

Según la nota publicada por la Policía Nacional, el objetivo era robar datos para venderlos en foros ilícitos. La investigación se inició a principios de octubre a raíz de la denuncia del propio SES, que aportó un informe técnico sobre la intrusión.

Lo sustraído no era una lista de correos electrónicos. Según la descripción policial, la base de datos estaba ordenada por año de nacimiento e identificador de paciente, con fichas y documentos, e incluía un índice con el historial médico de cada afectado: enfermedades, diagnósticos y tratamientos. Datos de categoría especial a los ojos del RGPD, los que reciben la máxima protección legal.

Qué se sabe del ataque

La consejera de Salud de la Junta de Extremadura, Sara García Espada, explicó el 5 de noviembre en la Asamblea regional, según recoge el diario Hoy, que el atacante logró llegar a bases de datos que, en sus palabras, se encuentran «fuera de exposición directa y protegidas por varias capas de seguridad». La Junta asegura que la vía de entrada ya ha sido identificada y corregida, sin ofrecer más detalles técnicos, y que el servicio nunca dejó de funcionar. Los afectados son 18.416 usuarios, el 1,6 % del total del SES.

La denuncia se presentó el mismo día del ataque en la comisaría de la Policía Nacional de Mérida y, según la Junta, el SES notificó también el incidente a la Agencia Española de Protección de Datos y lo registró en LUCIA, la herramienta de gestión de ciberincidentes del CCN-CERT. Los agentes siguieron el rastro de las conexiones hasta un domicilio de la capital extremeña y, con autorización del Juzgado de Instrucción número 1 de la ciudad, registraron la vivienda e intervinieron varios ordenadores de altas prestaciones y las bases de datos robadas. Según el Poder Judicial, el investigado tenía preparada la venta de la información en foros de cibercrimen, pero los datos «todavía no habían sido distribuidos a terceras personas». La consejera precisó en el pleno que la copia intervenida no fue eliminada y se encuentra bajo custodia judicial. La causa se investiga por los delitos de descubrimiento y revelación de secretos y de acceso ilícito a sistemas informáticos.

25.824 comunicaciones para avisar a los pacientes

Las fechas hablan por sí solas: el ataque fue el 5 de octubre, la detención se anunció el 29 de octubre y los avisos a los afectados ya se habían enviado cuando la consejera compareció en la Asamblea el 5 de noviembre. García Espada justificó el silencio por una recomendación de la Policía Nacional para no comprometer la investigación en marcha. En total, según las cifras aportadas en el pleno y recogidas por Hoy, el SES ha enviado 25.824 comunicaciones (17.806 SMS, 7.444 correos electrónicos y 574 cartas postales): un mismo usuario puede recibir varias si en su ficha del SES aparecen distintas formas de contacto. El PSOE, que llevó la cuestión a la Asamblea, criticó la «falta de transparencia» de la Junta por no hacer público el ataque hasta 24 días después.

La propia Junta, además, advierte del siguiente riesgo: que alguien se haga pasar por el SES. Pide desconfiar de llamadas, correos o SMS que soliciten contraseñas, códigos de verificación o datos personales y sanitarios, y recuerda que el canal oficial para consultas es el delegado de protección de datos (dpd@salud-juntaex.es). No es un aviso teórico: el vishing ya supone el 15 % de las consultas ciudadanas al 017 de INCIBE, como publicamos el 5 de noviembre.

La investigación no está cerrada. La Policía Nacional afirma que «no se descarta esclarecer otros ataques o intentos de ataques a otras instituciones» y la Junta confirmó que la operación ha permitido identificar una afectación a otras administraciones públicas. Los equipos incautados en Mérida siguen analizándose, en un sector sanitario que lleva años entre los objetivos del cibercrimen en España.

Más información | Policía Nacional | Poder Judicial