El Servicio Extremeño de Salud (SES) detectó el pasado 5 de octubre un ciberataque que afectó a la confidencialidad de información disponible en la aplicación Centro de Salud Online. Tras detectar el incidente, activó los protocolos de seguridad, adoptó medidas de contención y denunció los hechos ante la Policía Nacional.
La investigación policial, iniciada a raíz de la denuncia del SES, permitió identificar afectaciones en otras administraciones públicas y avanzar en el esclarecimiento de los ataques. La Policía ha detenido al presunto responsable.
Acceso a información clínica de 18.416 personas
En relación con el incidente que afectó al SES, la investigación determinó que hubo un acceso no autorizado a información clínica. El análisis también permitió delimitar el número de personas afectadas: 18.416 usuarios de la sanidad extremeña, aproximadamente el 1 % del total.
El SES identificó la vía de entrada utilizada y llevó a cabo medidas correctoras para reforzar la seguridad del sistema. Según la información difundida, los accesos legítimos al servicio funcionan con normalidad y no hubo indisponibilidad de los sistemas asistenciales.
El ciberataque fue denunciado ante la Policía Nacional y comunicado a la Agencia Española de Protección de Datos (AEPD). El incidente también se registró mediante LUCIA, la herramienta de gestión y notificación de ciberincidentes del CCN-CERT (Centro Criptológico Nacional), conforme a los procedimientos establecidos.
Notificaciones y recomendaciones de seguridad
El SES notificó los hechos a las personas afectadas por SMS, CSOnline, correo electrónico y/o carta postal. Entre quienes recibieron estas comunicaciones figura la presidenta de la Junta de Extremadura, María Guardiola, cuya información confidencial también se vio afectada por el ciberataque.
La Junta de Extremadura recomienda no facilitar información sensible ante comunicaciones sospechosas y utilizar los canales oficiales para comprobar su autenticidad. También aconseja estar alerta ante llamadas, correos electrónicos, SMS u otros mensajes que soliciten contraseñas, códigos de verificación o información personal o sanitaria, y evitar abrir enlaces o archivos cuando no pueda comprobarse su procedencia.
Las personas afectadas pueden dirigir las consultas específicamente relacionadas con la protección de datos al delegado de Protección de Datos, mediante el correo dpd@salud-juntaex.es.
La comunicación fue coordinada con el Cuerpo Nacional de Policía: https://policia.es/_es/comunicacion_prensa_detalle.php?ID=17040.
