CIBERATAQUE A UNA CLÍNICA: UN CASO REAL LA MALA GESTIÓN DE UN ATAQUE RANSOMWARE ACABA CON UNA MULTA DE 12.000 € PARA QUIEN LO SUFRE Los programas informáticos maliciosos cuyo gestión de la información y las medidas nece- objetivo es secuestrar información personal, sarias para prevenir brechas de seguridad. conocidos como ransomware, se han conver- El proceso comenzó con la detección de una tido en una de las principales amenazas ciber- ciberamenaza el 20 de abril de 2023. La clínica, néticas del entorno empresarial. En un mundo que gestiona datos personales de pacientes in- donde la cibercriminalidad no hace sino incre- cluyendo información identificativa, económica mentarse, nuestro país aparece como uno de y de salud, sufrió un secuestro a través de un los más afectados. El informe Threat Landscape software malicioso. Este tipo de programas en- Report de S21sec, uno de los líderes europeos cripta los datos y solicita un rescate para libe- de servicios de ciberseguridad, coloca a Espa- rarlos, comprometiendo tanto la disponibilidad ña como el quinto país más vulnerable a nivel como la confidencialidad de la información. mundial, con un total de 58 ataques de este La empresa notificó el incidente a la AEPD el tipo en el primer semestre de 2024, un 38% 12 de mayo de 2023, varias semanas después más que en el mismo periodo del año pasado. del plazo de 72 horas estipulado por el Regla- PSN Sercon, la consultora de protección de mento General de Protección de Datos (RGPD). datos y seguridad de la información del Gru- Este retraso se justificó inicialmente por la con- po PSN, nos acerca el caso real de una clínica fusión y el esfuerzo empleado en recuperar la dental que ha sido objeto de un procedimiento información y entender el alcance del ataque. sancionador por parte de la Agencia Española Sin embargo, la AEPD determinó que la falta de Protección de Datos (AEPD), debido preci- de notificación oportuna es una infracción en samente al retraso en la gestión de un ataque sí misma. de ransomware. La resolución de este caso Uno de los aspectos más críticos revelados proporciona importantes enseñanzas sobre la en la investigación fue la insuficiencia de las 30 PSN Número 105 / Octubre / 2024