Alerta en Chile: Millones de imágenes y datos médicos quedaron expuestos en internet sin contraseña
En la era digital, la ciberseguridad ya no solo protege dinero o contraseñas bancarias: protege la intimidad de nuestra salud. Un reciente informe técnico encendió las alarmas en el sector sanitario y tecnológico chileno tras revelar que Chile se ubicó en el 5º lugar a nivel mundial con mayor cantidad de imágenes médicas expuestas públicamente en internet.
La investigación, liderada por la firma de ciberseguridad Xmartlab bajo el estudio Healthcare Cybersecurity Landscape, detectó servidores en el país que almacenan exámenes médicos y antecedentes clínicos a los cuales se podía ingresar directamente desde cualquier navegador, sin requerir usuario, contraseña ni validación de identidad.
Las cifras del incidente en Chile
- Más de 8,1 millones de imágenes médicas expuestas (más de 5,7 terabytes de información).
- Afectación potencial a más de 250 mil pacientes chilenos.
- El país quedó en el quinto puesto global, solo detrás de India, Kenia, China y Argentina.
- Entre los archivos expuestos figuran radiografías, tomografías axiales (TAC), resonancias magnéticas y ecografías.
El problema va más allá de la imagen médica en sí. En los sistemas de almacenamiento de imágenes clínicas (como los servidores PACS bajo estándar DICOM), cada archivo contiene metadatos con el nombre completo del paciente, RUT, diagnóstico, antecedentes clínicos, nombre del médico tratante y centro de salud.
Uno de los servidores detectados presentaba indicios de estar comprometido y fue reportado de urgencia a la Agencia Nacional de Ciberseguridad (ANCI).
¿Por qué los datos médicos son el botín más codiciado?
A diferencia de una tarjeta de crédito —que se bloquea en dos minutos con una llamada al banco—, tu historial médico no se puede cambiar.
- Extorsión directa: Conocer diagnósticos reservados, tratamientos de salud mental o enfermedades crónicas permite a bandas de ciberdelincuentes extorsionar a personas públicas o pacientes comunes bajo amenaza de divulgar la información a sus familias o empleadores.
- Ingeniería social hiperdirigida: Al saber qué examen te hiciste, cuándo y con qué médico, un estafador puede llamarte haciéndose pasar por la clínica para cobrarte un insumo pendiente o pedirte claves de verificación, logrando una credibilidad casi perfecta.
- Suplantación de identidad para fraudes de seguros: Uso fraudulento de antecedentes clínicos para tramitar licencias o coberturas.
La responsabilidad legal y técnica de clínicas y proveedores
En Chile, los datos de salud están calificados legalmente como datos sensibles bajo la Ley Nº 20.584 (Derechos y Deberes de los Pacientes). A esto se suma el marco de la Ley Marco de Ciberseguridad (Ley 21.663) y la nueva normativa de protección de datos personales.
Muchas veces la brecha no ocurre en la red principal de un hospital grande, sino en proveedores externos (terceros) que prestan servicios de almacenamiento en la nube, visualizadores web para médicos o respaldo sin los debidos cortafuegos.
Errores de configuración comunes que las instituciones deben corregir ya:
- Puertos DICOM abiertos a internet (Puerto 104 y similares): Los servidores de imágenes jamás deben apuntar directo a una IP pública sin autenticación ni túnel cifrado.
- Acceso sin VPN: Los radiólogos o especialistas que trabajan de forma remota deben conectarse exclusivamente mediante VPN corporativas con autenticación multifactor (MFA), nunca a través de una URL pública desprotegida.
- Falta de segmentación: La red donde residen los servidores de almacenamiento debe estar aislada de la red general y protegida por un firewall de hardware (WAF / UTM) con políticas estrictas de entrada y salida.
Conclusión
Este hallazgo deja una lección contundente: en seguridad digital, la comodidad no puede ganarle a la configuración básica. Un servidor sin clave no es un hackeo sofisticado; es una puerta abierta de par en par. Proteger la infraestructura sanitaria es hoy un deber ético, legal y operativo ineludible para cualquier entidad médica en Chile.
