El Servicio Extremeño de Salud (SES) detectó el pasado 5 de octubre un ciberataque que afectó a la confidencialidad de información disponible a través de la aplicación Centro de Salud Online. La detección del incidente supuso la activación inmediata los protocolos de seguridad establecidos, adoptar medidas de contención y denunciar los hechos ante la Policía Nacional.
La investigación iniciada a raíz de la denuncia presentada por el SES ha permitido a la Policía Nacional identificar la afectación a otras administraciones públicas y avanzar en el esclarecimiento de estos ataques. Por todo ello, se ha procedido a la detención del presunto responsable.
La denuncia del incidente por parte del SES ha contribuido a una actuación policial de mayor alcance, que ha revelado la dimensión de la actividad desarrollada contra distintos organismos públicos.
Como resultado de las actuaciones realizadas y de la investigación desarrollada en coordinación con la Policía Nacional, se ha podido determinar, en lo que respecta específicamente al incidente que afectó al SES, que se produjo un acceso no autorizado a información clínica. El análisis efectuado ha permitido asimismo delimitar el número de personas afectadas, que asciende a 18.416 usuarios de la sanidad extremeña, aproximadamente el 1 % del total.
La vía de entrada utilizada en el ataque ha sido identificada y se han llevado a cabo las medidas correctoras necesarias para reforzar la seguridad del sistema. Los accesos legítimos al servicio funcionan con normalidad y no se ha producido indisponibilidad de los sistemas asistenciales.
El ciberataque fue denunciado ante la Policía Nacional y comunicado a la Agencia Española de Protección de Datos (AEPD). Asimismo, el incidente fue registrado a través de LUCIA, herramienta de gestión y notificación de ciberincidentes del CCN-CERT (Centro Criptológico Nacional), conforme a los procedimientos establecidos.
El SES ha notificado estos hechos a todas las personas afectadas a través de SMS, CSOnline, correo electrónico y/o carta postal. Entre los usuarios que han recibido estas comunicaciones, por verse afectada información confidencial a raíz del ciberataque, está la propia presidenta de la Junta de Extremadura, María Guardiola.
Desde la Junta de Extremadura se recuerda que nunca debe facilitarse información sensible ante una comunicación sospechosa y recomienda utilizar siempre los canales oficiales para comprobar su autenticidad. Como medida general de precaución se recomienda prestar atención a posibles llamadas, correos electrónicos, SMS u otros mensajes que soliciten contraseñas, códigos de verificación o información personal o sanitaria, así como evitar acceder a enlaces o archivos cuya procedencia no pueda comprobarse.
Para cualquier consulta relacionada específicamente con la protección de datos, las personas afectadas pueden dirigirse al delegado de Protección de Datos a través del correo dpd@salud-juntaex.es.
Esta comunicación ha sido coordinada con el Cuerpo Nacional de Policía:
https://policia.es/_es/comunicacion_prensa_detalle.php?ID=17040