Roban historiales médicos de 18.416 pacientes: detenido en Mérida

La Policía Nacional ha detenido en Mérida al presunto responsable de un ciberataque contra el Servicio Extremeño de Salud (SES) que permitió sustraer información médica de 18.416 pacientes. Los investigadores han recuperado más de 334.000 registros sanitarios que contenían enfermedades, diagnósticos y tratamientos. El sospechoso pretendía vender esa información confidencial en foros utilizados por ciberdelincuentes.

Entre las personas afectadas se encuentra María Guardiola, presidenta de la Junta de Extremadura, que también ha recibido una notificación oficial por la exposición de sus datos clínicos. El incidente fue detectado el pasado 5 de octubre, aunque la detención y el alcance del robo se conocieron públicamente el 29 de octubre de 2026.

La operación ha permitido recuperar las bases de datos sustraídas. Según los primeros indicios comunicados por el Tribunal Superior de Justicia de Extremadura, la información todavía no había sido distribuida a terceros. Es una circunstancia importante: el ataque comprometió la privacidad de miles de ciudadanos, pero la investigación policial habría impedido que sus historiales terminaran comercializados.

El Servicio Extremeño de Salud asegura que ha corregido la vía de entrada utilizada por el atacante y que los servicios sanitarios siguen funcionando con normalidad. También ha informado individualmente a los afectados y ha trasladado el incidente a la Agencia Española de Protección de Datos.

Más de 334.000 registros con enfermedades, diagnósticos y tratamientos

El volumen de información sustraída permite comprender la gravedad del ataque. No se trataba únicamente de nombres o números de identificación, sino de documentación clínica confidencial perteneciente a miles de usuarios de la sanidad pública extremeña.

Durante el registro del domicilio del detenido, los agentes localizaron una base de datos organizada por año de nacimiento y código de identificación de cada paciente. También encontraron fichas personales, documentos médicos y un sistema de consulta que permitía localizar información sobre enfermedades, diagnósticos y tratamientos.

Los 334.000 registros no corresponden a otros tantos pacientes. Son documentos y anotaciones sanitarias vinculados a las 18.416 personas afectadas, una cifra que representa aproximadamente el 1 % de los usuarios del Servicio Extremeño de Salud.

La presidenta extremeña, María Guardiola, figura entre ellos. La Junta ha confirmado que recibió la comunicación correspondiente, aunque no ha detallado qué información concreta de su historial pudo quedar comprometida.

La trascendencia del caso va más allá de la identidad de los afectados. Los datos médicos pertenecen a una categoría especialmente protegida por la legislación europea porque pueden revelar circunstancias íntimas de una persona. Una enfermedad, una intervención quirúrgica o un tratamiento no son informaciones que deban terminar al alcance de cualquiera.

Cómo se produjo el ciberataque al Servicio Extremeño de Salud

La investigación comenzó después de que el SES detectara, el 5 de octubre de 2026, una intrusión informática que afectaba a la plataforma Centro de Salud Online, conocida como CSOnline.

Este servicio permite a los ciudadanos realizar gestiones sanitarias por internet, como solicitar citas o consultar determinados documentos clínicos.

El atacante habría utilizado un procedimiento automatizado y masivo para acceder indebidamente a información almacenada en el sistema. Las conexiones procedían de un servidor virtual anónimo alojado en el extranjero, un recurso empleado para dificultar la identificación de quien ejecuta una operación informática.

La utilización de un servidor fuera de España no significa necesariamente que el responsable actuara desde otro país. De hecho, las pesquisas permitieron localizar al sospechoso en Mérida.

La Policía encontró los datos sustraídos en el domicilio del detenido

Tras analizar las conexiones y los indicios técnicos, los investigadores consiguieron identificar al presunto responsable del ataque.

Con autorización judicial, la Policía Nacional registró su vivienda e intervino varios equipos informáticos de altas prestaciones. En ellos encontró rastros de las conexiones utilizadas durante la intrusión y las bases de datos que habían sido extraídas del sistema sanitario.

El material intervenido deberá continuar siendo analizado para determinar el alcance de la actividad del investigado.

La Junta de Extremadura también ha señalado que las pesquisas permitieron identificar posibles ataques contra otras administraciones públicas. La Policía no descarta que las pruebas recuperadas sirvan para esclarecer nuevas intrusiones o intentos de acceso ilegal a otros organismos.

Los datos robados estaban preparados para su venta en internet

Uno de los aspectos más relevantes del caso es el destino que presuntamente iba a recibir la información.

Los investigadores sostienen que el detenido pretendía comercializar los historiales médicos en foros de ciberdelincuencia. Estos espacios pueden utilizarse para intercambiar información sustraída, credenciales de acceso y otros datos obtenidos mediante actividades ilícitas.

Sin embargo, existe una diferencia esencial entre preparar una venta y haberla realizado.

El Tribunal Superior de Justicia de Extremadura ha indicado que, según los primeros indicios, el investigado tenía preparada la comercialización de los archivos, pero estos no habían llegado a distribuirse a terceras personas.

La Policía considera que la recuperación de la información y de las copias localizadas ha permitido impedir esa operación.

Por ahora, no se ha acreditado públicamente que los historiales aparecieran publicados en internet ni que fueran adquiridos por otros delincuentes.

La recuperación de los archivos supone un avance importante, aunque la investigación deberá establecer definitivamente qué copias existieron y hasta dónde llegó el acceso no autorizado.

Qué deben hacer los 18.416 pacientes afectados

El Servicio Extremeño de Salud ha comunicado el incidente individualmente a las personas cuyos datos pudieron quedar expuestos.

Las notificaciones se han realizado mediante SMS, correo electrónico, cartas postales y la plataforma CSOnline. No todos los usuarios tienen que haber recibido necesariamente el aviso por el mismo canal.

La Junta recomienda extremar la precaución ante posibles intentos de fraude que aprovechen información personal o sanitaria para aparentar legitimidad.

Conviene desconfiar especialmente de mensajes o llamadas que soliciten contraseñas, códigos de verificación o documentación médica. Un delincuente que conoce determinados datos personales podría utilizarlos para hacer más creíble una comunicación fraudulenta.

La recomendación es sencilla: comprobar cualquier aviso a través de los canales oficiales del SES, sin acceder directamente a enlaces sospechosos ni descargar archivos de procedencia desconocida.

Los ciudadanos que quieran consultar si sus datos se han visto comprometidos pueden dirigirse al delegado de Protección de Datos del Servicio Extremeño de Salud mediante el correo dpd@salud-juntaex.es.

El Tribunal Superior de Justicia de Extremadura ha aclarado, además, que los afectados no necesitan presentar una denuncia individual ante la Policía Nacional por este ciberataque, puesto que los hechos ya forman parte de la investigación judicial. Esto no impide denunciar cualquier fraude o utilización indebida posterior de sus datos.

El SES ha confirmado que el incidente no provocó interrupciones en la asistencia sanitaria. La vía de acceso utilizada fue identificada y se aplicaron medidas correctoras para reforzar la protección de la plataforma.

La investigación judicial continúa abierta en Mérida

El procedimiento está en manos del Tribunal de Instancia de Mérida, que investiga posibles delitos de descubrimiento y revelación de secretos y acceso ilícito a sistemas informáticos, entre otros.

El detenido mantiene la condición de investigado y deberá respetarse su presunción de inocencia mientras no exista una resolución judicial firme.

La causa tendrá que determinar cómo se obtuvo exactamente la información, qué medidas de seguridad fueron vulneradas y si el sospechoso participó en otros ataques contra instituciones públicas.

El Servicio Extremeño de Salud, por su parte, comunicó la brecha de seguridad a la Agencia Española de Protección de Datos y registró el incidente mediante la herramienta LUCIA del Centro Criptológico Nacional.

La investigación también deja una cuestión de fondo para las administraciones: la protección de los historiales médicos. Digitalizar la sanidad facilita el acceso a consultas, informes y tratamientos, pero exige controles capaces de proteger información extremadamente sensible.

En este caso, la actuación policial habría evitado la venta de los datos sustraídos. Eso no elimina la gravedad del acceso ilegal. Un historial médico contiene información que acompaña a una persona durante años y que, a diferencia de una contraseña, no puede cambiarse después de un robo.

La detención ha permitido frenar la operación investigada. Ahora queda esclarecer todas sus circunstancias y garantizar que los datos clínicos de los ciudadanos permanezcan protegidos dentro del sistema sanitario.