Salud, clínicas, hospitales y farmacéuticas — Julio 2026

Módulos mensuales de referencia

Estos módulos se completan automáticamente con los hechos verificados con fecha dentro del período. Cada uno declara su base y su criterio de conteo, de modo que las cifras reconcilien entre módulos. Son la lectura recurrente mes a mes; el análisis posterior desarrolla los casos sin repetir esta síntesis.

Ventana de los indicadores: 51 hechos con fecha en julio 2026 · 16 sin fecha confirmada (excluidos de los indicadores). Los hechos de meses anteriores se usan solo como marco comparativo en el análisis, nunca como volumen de este período.

Resumen ejecutivo del mes

Julio de 2026 dejó una señal muy clara para salud, clínicas, hospitales y farmacéuticas en América Latina: el ransomware volvió a dominar la conversación, con 15 de los 48 hechos verificados del período. Dentro de ese conjunto, el caso más sólido y jurídicamente sensible fue el expediente brasileño contra Instituto Saúde e Cidadania, donde la ANPD abrió un proceso de sanción por una falla en la protección de datos de pacientes de unidades públicas de salud. La autoridad dijo que el episodio involucró ransomware y que la institución informó cerca de 500 mil registros afectados, con decenas de miles de niños, adolescentes y adultos mayores incluidos. Esa combinación de volumen, sensibilidad de datos y posible incumplimiento regulatorio coloca el caso en una categoría distinta a la de una simple indisponibilidad técnica.

El resto del mes mostró una superficie regional fragmentada, con coberturas sobre una presunta filtración en Sinaloa, reportes de ciberataques a sanatorios y medicina prepaga en Paraguay, y el hackeo a la web del Hospital de Clínicas de Uruguay. No todos esos hechos tienen el mismo peso probatorio. En varios, la fuente no confirmó intrusión, o describió un ataque automatizado de defacement sin acceso a datos de pacientes. Esa diferencia importa, porque el material del mes mezcla con frecuencia ataques con impacto operativo real, reclamos de actores de amenaza, filtraciones aún no validadas y simples alteraciones de portales públicos. Para una lectura CISO, la conclusión es que la exposición del sector salud sigue siendo amplia, pero la evidencia sólida de impacto sobre información clínica o continuidad asistencial fue mucho más acotada que el ruido informativo del mes.

Brasil concentró la señal más robusta en términos regulatorios y de escala. El proceso de la ANPD contra Isac no solo pone el foco en la seguridad de la información, sino también en obligaciones de notificación, prevención y rendición de cuentas. La autoridad examinó si se adoptaron medidas adecuadas y si hubo comunicación individual a los afectados. Eso amplía el alcance del incidente más allá del perímetro técnico. Al mismo tiempo, la cobertura de julio sobre ransomware en la región siguió colocando a Brasil como el país más expuesto en varios conteos de telemetría y reportes de vendors, aunque esas cifras corresponden a intentos, bloqueos o víctimas publicadas por terceros, no a un inventario único de incidentes sanitarios de la región.

En paralelo, las vulnerabilidades explotadas activamente siguieron alimentando campañas de ransomware y acceso inicial. CISA, F5 Labs y otros actores de la cadena de inteligencia mencionaron fallas críticas en Adobe ColdFusion, SonicWall SMA 1000, Fortinet FortiSandbox y otras plataformas que ya estaban en catálogo KEV. Para el sector salud esto es especialmente relevante porque muchas instituciones combinan portales públicos, sistemas administrativos, integraciones con proveedores y software legado expuesto a internet. El riesgo de mes no fue una sola familia de malware, sino la convergencia de superficies viejas, remediación lenta y actores que ya explotan fallas conocidas para avanzar rápidamente hacia extorsión o cifrado.

La lectura final del período es de riesgo alta. No porque todos los casos hayan sido confirmados con el mismo nivel de profundidad, sino porque el material verificable sí mostró tres rasgos consistentes: ransomware como amenaza predominante, fuerte presión sobre datos sensibles de salud, y una cantidad no menor de incidentes donde la ausencia de confirmación oficial impidió cerrar el diagnóstico técnico. En otras palabras, el sector no solo enfrenta ataques, sino también un déficit de visibilidad que dificulta distinguir entre rumor, defacement, filtración y extorsión con impacto real.

Panorama regional del mes

La región mostró una mezcla de ataques oportunistas, extorsión con reclamo público y eventos regulatorios vinculados a salud y datos sensibles. El patrón dominante no fue el fraude ni el phishing documentado en incidentes concretos, que no apareció como eje de hechos verificados del mes, sino el ransomware y su periferia operativa: explotación de vulnerabilidades, publicación de víctimas en leak sites, impresiones de notas de rescate y reclamos de acceso a datos. En salud, ese patrón es especialmente dañino porque un mismo episodio puede afectar confidencialidad, integridad y continuidad asistencial al mismo tiempo.

Brasil fue el país con mayor densidad de hechos verificables vinculados al eje. Allí se combinó un caso regulatorio de alto perfil, referencias a liderazgo regional en víctimas de ransomware y cobertura de campañas más amplias de extorsión digital. México también acumuló señales, sobre todo por reportes de aumento de ciberataques y por la discusión pública en torno a Sinaloa. Paraguay aportó un episodio sanitario sin demasiada precisión técnica, pero suficiente para mostrar que el sector privado de salud no quedó fuera de la presión regional. Uruguay, por su parte, quedó más cerca del vandalismo digital sobre portales que de una exfiltración comprobada de historias clínicas. Esa diferencia de modalidad explica por qué el volumen narrativo del mes no debe confundirse con la severidad de los casos confirmados.

La severidad verificable estuvo concentrada en pocos hechos, pero con mucha carga de datos y cumplimiento. El caso brasileño de Isac es el mejor ejemplo. El posible impacto sobre cerca de 500 mil pacientes, incluyendo menores y adultos mayores, eleva la exposición legal y reputacional. También lo hace la posibilidad de sanción bajo LGPD. En paralelo, la web del Hospital de Clínicas de Uruguay quedó fuera de servicio en su parte informativa, pero la propia institución afirmó que no hubo acceso a datos personales ni a historias clínicas. El incidente fue presentado como un ataque masivo automatizado contra sitios vulnerables en Joomla, no como una intrusión clínica dirigida. Para una lectura regional, esto sugiere que el sector salud convive con dos clases de amenaza: la que compromete datos o disponibilidad crítica, y la que daña la presencia digital sin tocar registros sensibles.

La calidad del material fue desigual. Algunas coberturas se apoyaron en autoridades o avisos técnicos, otras en notas periodísticas que recogieron denuncias de actores no identificados, y varias quedaron en una zona intermedia sin peritaje público concluyente. Eso obliga a separar con cuidado la señal dura de la hipótesis periodística. El informe de julio no muestra una región sin control, sino una región donde la evidencia pública llega tarde o incompleta. Para salud y farmacéuticas, ese problema de visibilidad es tan relevante como el evento mismo, porque dificulta decidir cuándo cortar accesos, cuándo notificar, cuándo restaurar y cuándo activar respuesta legal.

Indicadores del período

Incidentes relevantes

Brasil, proceso sancionatorio de la ANPD contra Isac

El hecho más claro del mes en salud latinoamericana fue el proceso de sanción abierto por la ANPD contra el Instituto Saúde e Cidadania. La autoridad sostuvo que la organización social presentó una falla en la protección de datos de pacientes de unidades públicas de salud en Brasil y que el caso involucró un ataque de ransomware. La propia ANPD indicó que la institución informó cerca de 500 mil registros afectados, con aproximadamente 78.772 de niños y adolescentes y 47.921 de personas mayores. La combinación de volumen y sensibilidad sitúa el incidente en una categoría de alto impacto potencial, incluso antes de entrar en las derivaciones legales.

La cobertura periodística también agregó que la ANPD está analizando si Isac adoptó medidas de seguridad adecuadas y si notificó individualmente a los afectados. Ese punto es central. En salud, un incidente no termina cuando el atacante cifra o exfiltra información. Sigue en la capa de cumplimiento, donde se evalúa prevención, accountability y comunicación. O Globo y Poder360 coincidieron en que la autoridad investigó la ausencia de notificación individual, mientras Defender360 remarcó el posible rango de sanciones bajo LGPD. Esa lectura sugiere que el caso puede terminar siendo tan relevante por el expediente administrativo como por el propio ciberataque.

El hecho tiene además un valor estructural para la región. El sector público de salud suele operar con múltiples unidades, sistemas heterogéneos y cadenas largas de terceros. Cuando una organización social administra infraestructura sanitaria, el riesgo no se limita a la institución. Puede alcanzar hospitales, clínicas, bases de datos y procesos de atención repartidos en varias jurisdicciones. El caso de Isac deja una lección operativa nítida: la resiliencia no se mide solo por tener copias de respaldo, sino por la capacidad de demostrar protección, trazabilidad y notificación oportuna cuando una intrusión deja pacientes expuestos.

Sinaloa, denuncias cruzadas y una filtración aún no cerrada

Sinaloa concentró varias coberturas durante julio, pero el material disponible no permitió cerrar un solo diagnóstico técnico. El Sol de Sinaloa habló de siete reportes de posibles ciberataques a sistemas públicos durante el mes, con menciones a expedientes médicos entre los posibles impactos, aunque sin dictámenes públicos concluyentes. El Independiente señaló que ninguna autoridad había confirmado un ciberataque ni la autenticidad de los archivos difundidos. Noroeste recogió la negativa de la alcaldesa interina de Culiacán sobre un ataque a páginas oficiales del ayuntamiento. Proceso, por su parte, amplió la hipótesis y sostuvo que el presunto ciberataque a gobiernos de Sinaloa habría expuesto datos de casi un millón de personas.

La pieza periodística más específica sobre salud fue la que mencionó el Portal de Salud de Culiacán. Ransomware.mx difundió una cobertura de Intel MX en la que un actor de amenazas afirmaba haber vulnerado el portal y publicado gratuitamente supuestos expedientes médicos, incluidos datos de menores. Diario Bitcoin también reportó una presunta filtración de 4.045 registros médicos. Sin embargo, el propio material indica que seguía sin haber verificación pública oficial. Eso obliga a clasificar el episodio con prudencia: hay reclamo y circulación de datos, pero no cierre técnico independiente sobre origen, alcance o validez de la información.

Desde una perspectiva de defensa, Sinaloa muestra un problema conocido. Cuando varias fuentes periodísticas describen el mismo entorno, pero no hay un peritaje unificado ni una atribución clara, el tiempo juega en contra del titular de los datos. Los equipos de salud suelen verse obligados a responder antes de contar con certeza total. Ese desfasaje es costoso. Si el material circulante es real, la exposición es grave. Si no lo es, el daño reputacional también puede ser alto. Por eso la primera tarea no es solo contener el sistema, sino preservar evidencia, validar hashes o muestras, y separar rumores de material auténtico.

Paraguay, ciberataques a sanatorios y baja especificidad técnica

Diario Paraguayo publicó una nota sobre un ciberataque que afectó a sanatorios privados y empresas de medicina prepaga en Paraguay. La cobertura no identificó instituciones ni aportó detalles técnicos sobre malware, vectores o alcance. En otra pieza, el medio citó a un experto que interpretó el episodio como un síntoma de baja madurez de ciberseguridad en el sector salud. Esa última lectura es plausible como opinión, pero no puede tomarse como aviso oficial ni como evidencia de campaña concreta.

La utilidad del caso está precisamente en su ambigüedad. Cuando la información llega sin nombres, sin fecha técnica y sin indicadores de compromiso, el sector termina operando a ciegas. Los sanatorios privados y las prepagas suelen trabajar con plataformas administrativas, portales de afiliación, turnos y facturación. No hace falta un cifrado masivo para generar interrupciones. Un acceso no autorizado a un sistema de citas o a un módulo de credenciales puede afectar atención y servicio al paciente sin que todavía exista una filtración pública. Por eso, aun siendo un hecho de confirmación limitada, merece atención dentro del mes.

Uruguay, hackeo a la web del Hospital de Clínicas

El Hospital de Clínicas de Uruguay fue otro de los nombres que apareció repetidamente en julio. La cobertura de Subrayado indicó que su página web había sido hackeada y seguía sin estar operativa al momento del informe. El País informó que Agesic y los servicios informáticos de la Universidad de la República investigaban el caso, pero que no se había accedido a la información de los pacientes. Desde el propio hospital se aclaró que el incidente no comprometió historias clínicas ni afectó la asistencia. Telenoche agregó que el sitio llevaba al menos una semana en mantenimiento.

El Observador aportó un dato útil para la clasificación del hecho: el ataque no habría estado dirigido específicamente al Hospital de Clínicas, sino que formó parte de un programa automático que buscó sitios vulnerables y explotó una falla en Joomla. En otras palabras, el hospital fue uno de varios objetivos alcanzados por un barrido masivo de internet, y la recuperación consistiría en restaurar un respaldo, reinstalar Joomla y actualizar el entorno.

Ese encuadre reduce la gravedad clínica del hecho, pero no su relevancia operativa. Un portal caído durante días puede interrumpir información pública, agendas, comunicaciones de cátedras y canales de contacto. En instituciones de salud grandes, incluso un defacement o una caída de presencia digital tiene costos. Lo importante aquí es que el material disponible negó impacto sobre datos de pacientes. Por eso este caso debe leerse como indisponibilidad web y no como brecha clínica confirmada.

Brasil y la presión regional sobre ransomware en salud

Más allá del caso Isac, julio dejó varias referencias a la presión de ransomware sobre la región y sobre salud en particular. SCILabs indicó que en 2025 Qilin fue la variante más activa en América Latina, seguida por Akira y LockBit, y mencionó nuevas familias como SafePay y The Gentlemen. Breachsense señaló que el sector salud fue el más atacado en julio de 2026, con 71 víctimas, y que hubo 811 víctimas publicadas en leak sites durante el mes, atribuidas a 66 grupos distintos en 78 países. Ambas lecturas son útiles para entender la presión del ecosistema, aunque no sustituyen el registro de incidentes sanitarios del mes.

La región también mostró diversidad táctica. TrendTIC reportó ataques de ransomware dirigidos contra organizaciones en Colombia y México en los que los atacantes imprimieron las notas de rescate en impresoras corporativas luego de cifrar los sistemas con BitLocker. Kaseya informó sobre el grupo Everest y una demanda de aproximadamente 10 millones de francos suizos a Stadler Rail tras acceder a una plataforma de intercambio de datos compartida con un proveedor. En el plano de salud, eso sugiere que los atacantes siguen priorizando la interrupción visible y la presión psicológica, incluso cuando el robo de datos no queda inmediatamente expuesto.