La Policía Nacional ha detenido este viernes en Mérida al presunto autor de un ciberataque que accedió a datos sanitarios de 18.416 pacientes de la sanidad extremeña. Según la Policía, el ataque se dirigió al portal online del Servicio Extremeño de Salud mediante un acceso indebido, con la intención de obtener datos para venderlos en foros ilícitos.
El Servicio Extremeño de Salud (SES) detectó el pasado 5 de octubre un ciberataque que comprometió la confidencialidad de la información disponible a través de la aplicación Centro de Salud Online. Al detectarlo, se activaron de inmediato los protocolos de seguridad y se adoptaron medidas de contención. El mismo día del ataque, el SES presentó una denuncia ante la Policía Nacional.
La investigación abierta a raíz de esa denuncia ha permitido a los agentes constatar que el ataque no se limitó al SES, sino que afectó también a otras administraciones públicas. Esto ha permitido avanzar en el esclarecimiento de los hechos y detener al presunto responsable. El SES subraya que su denuncia contribuyó a una actuación policial de mayor alcance, que ha revelado la dimensión de la actividad dirigida contra distintos organismos públicos.
En lo que respecta al SES, la investigación ha determinado que hubo un acceso no autorizado a información clínica. La vía de entrada ya ha sido identificada y se han aplicado las medidas correctoras necesarias para reforzar la seguridad del sistema. El SES asegura además que los accesos legítimos funcionan con normalidad y que no se ha producido ninguna interrupción en los sistemas asistenciales.
El incidente fue comunicado a la Agencia Española de Protección de Datos (AEPD) y registrado en Lucia, la herramienta del CCN-CERT (Centro Criptológico Nacional) para la gestión y notificación de ciberincidentes.
Los afectados no tienen que denunciar
Por su parte, el SES ha difundido un comunicado dirigido a los afectados en el que aclara varias cuestiones. Tal y como recoge el Tribunal Superior de Justicia de Extremadura (TSJEX), no es necesario que los afectados presenten denuncia ante la Policía Nacional, ya que el SES la interpuso el 5 de octubre y la investigación se encuentra ya en vía judicial. Quienes tengan dudas o consultas pueden escribir al Delegado de Protección de Datos del SES en dpd@salud-juntaex.es.
Por otra parte, ante el riesgo de que los datos obtenidos se utilicen para engaños o fraudes, la Junta de Extremadura ha recordado que nunca debe facilitarse información sensible ante una comunicación sospechosa y aconseja comprobar su autenticidad por los canales oficiales. Como precaución general, recomienda desconfiar de llamadas, correos, SMS u otros mensajes que pidan contraseñas, códigos de verificación o datos personales o sanitarios y evitar abrir enlaces o archivos de origen dudoso.