Salud, clínicas, hospitales y farmacéuticas — Agosto 2026

Módulos mensuales de referencia

Estos módulos se completan automáticamente con los hechos verificados con fecha dentro del período. Cada uno declara su base y su criterio de conteo, de modo que las cifras reconcilien entre módulos. Son la lectura recurrente mes a mes; el análisis posterior desarrolla los casos sin repetir esta síntesis.

Ventana de los indicadores: 90 hechos con fecha en agosto 2026. Los hechos de meses anteriores se usan solo como marco comparativo en el análisis, nunca como volumen de este período.

Resumen ejecutivo

Agosto de 2026 dejó un panorama mixto para salud, clínicas, hospitales y farmacéuticas en América Latina: por un lado, se consolidó una secuencia de incidentes de fraude financiero y exposición de datos vinculados a prestadores sanitarios y a sistemas públicos de vigilancia; por el otro, se observaron nuevas reclamaciones de ransomware sobre hospitales y plataformas de salud en varios países, aunque con distintos grados de confirmación pública. El mes no estuvo dominado por una única familia de amenazas, sino por la coexistencia de tres patrones: extorsión por ransomware con publicaciones en leak sites, fraude bancario o estafas informáticas que afectaron a instituciones de salud, y divulgaciones de bases de datos expuestas sin autenticación que dejaron al descubierto información regulatoria y de pacientes.

La señal más clara y mejor documentada del período fue la base de datos expuesta del sistema SISVISA en Brasil, que dejó accesibles 102.215 registros y aproximadamente 79 GB de material asociado a vigilancia sanitaria y licenciamiento. La investigación publicada por Jeremiah Fowler mostró que no se trataba de un archivo aislado, sino de un conjunto con identificadores, datos fiscales, documentos regulatorios, pedidos de licenciamiento, autorizaciones, informes de inspección, documentación de conformidad, reclamaciones ciudadanas y respaldos compactados. Aunque el acceso público se desactivó poco después de las advertencias responsables, la ventana real de exposición no pudo determinarse y no existe confirmación oficial pública sobre alcance completo o posibles accesos de terceros. Para un CISO del sector salud, el caso es particularmente relevante porque ilustra cómo un entorno regulatorio mal configurado puede convertirse en un vector de exposición tan sensible como una brecha clínica, con consecuencias operativas, reputacionales y de cumplimiento.

En paralelo, EsSalud Lambayeque en Perú se convirtió en uno de los casos más ilustrativos de fraude financiero soportado en acceso remoto y suplantación técnica. Las coberturas periodísticas convergen en que personas que se hicieron pasar por soporte de Scotiabank obtuvieron acceso remoto a equipos de la entidad mediante usuarios y claves proporcionados por personal de la red, y a partir de allí se ejecutaron cinco transferencias no autorizadas por un total de S/ 1.406.991. El caso produjo además un giro procesal: la fiscalía descartó que fuera solo un fraude externo y abrió una investigación por presunto peculado contra cuatro funcionarios de EsSalud, señalando que la salida del dinero habría contado con intervención directa de responsables de la cuenta. Ese matiz es importante porque diferencia entre un simple engaño tecnológico y una falla de controles internos, una combinación que eleva la severidad y exige revisar no solo la ciberseguridad, sino también segregación de funciones, validaciones fuera de banda y gobernanza de pagos.

Brasil y Chile también aportaron incidentes relevantes bajo la forma de reclamaciones de ransomware. En Brasil, Mobilemed apareció en listados de monitorización como presunta víctima del grupo Kazu con una supuesta exfiltración de 23,5 TB y un rescate estimado en US$ 1,5 millón, aunque no hubo comunicación pública de la empresa confirmando el alcance. El valor analítico del caso está menos en la cifra, que proviene de agregadores y del leak site, y más en la reiteración de un patrón: Kazu siguió orientando sus publicaciones hacia salud y hacia proveedores de la cadena sanitaria, no solo clínicas u hospitales, sino plataformas de PACS, telemedicina, gestión de consultorios y otros servicios de software crítico para la atención. En esa misma línea, Centro Médico Especializado OSI: Healthcare Solutions, en Perú, fue listado por Kazu como presunta víctima, también sin confirmación pública de la clínica al cierre del período analizado.

Chile concentró otra de las piezas más sensibles del mes con la aparición del Hospital Clínico Universidad de Chile en el portal de extorsión atribuido a Direwolf. Aquí conviene ser precisos: las fuentes disponibles describen una reclamación de leak site y un rastreo automatizado, no una validación independiente del hospital, de un CERT o de un regulador. Aun así, el caso merece atención por dos razones. La primera es la velocidad de la detección reportada por la infraestructura de monitoreo, que llegó a identificar el caso en una ventana de menos de 20 minutos según la marca temporal difundida por HookPhish. La segunda es el contexto de campaña: análisis de terceros asociaron a Direwolf con otras víctimas publicadas en un intervalo de 24 horas, entre ellas organizaciones del sector salud y una empresa tecnológica, lo que sugiere un patrón de ofensiva multivíctima y multirregional. Para un equipo de respuesta, el valor de este tipo de observaciones no es determinar culpabilidad definitiva, sino ajustar priorización, monitoreo de leak sites y preparación de comunicaciones de crisis.

La fotografía de agosto también incluye señales de presión regulatoria y operativa en otros países. En Paraguay, la narrativa pública sobre ciberataques a salud apareció tanto en declaraciones parlamentarias como en entrevistas a especialistas, aunque con escasez de detalles técnicos verificables. Lo más concreto fue el caso del Sanatorio San José de Ciudad del Este, donde la investigación documentó dos transferencias no autorizadas por 250 millones y 100 millones de guaraníes, realizadas como operaciones cargadas manualmente con el usuario de una funcionaria sin facultades para aprobar pagos, y luego reintegradas por el banco tras la intervención de la Fiscalía y del Departamento de Cibercrimen. Aunque la entidad bancaria negó vulneración de sus sistemas y atribuyó los hechos a ataques orientados al engaño de usuarios, la cobertura masiva instaló la idea de una cuenta "hackeada", reforzando la percepción pública de riesgo sobre prestadores de salud privados.

En términos de lectura regional, agosto mostró una cadena de dependencias que amplifica el impacto del riesgo: clínicas que dependen de plataformas de PACS en nube, sanatorios que dependen de bancos y tokens, hospitales que dependen de portales de vigilancia sanitaria, y redes prestacionales que dependen de herramientas de acceso remoto o de soporte legítimo que luego pueden ser abusadas. El denominador común no fue una familia técnica única, sino la exposición de flujos críticos de información y pagos en entornos donde se mezclan usuarios clínicos, administrativos y proveedores externos. La recomendación para CISOs es clara: segmentar accesos, reforzar aprobaciones fuera de banda, eliminar software de acceso remoto no gestionado, auditar cuentas privilegiadas y preparar procedimientos para responder tanto a ransomware como a fraude financiero y exposición regulatoria.

Panorama

El mes evidencia que el sector salud latinoamericano sigue siendo un objetivo atractivo no solo por el valor de sus datos clínicos, sino por su compleja superficie de ataque: redes internas fragmentadas, múltiples proveedores, integraciones con bancos, portales de licenciamiento, sistemas de imagen y herramientas de telemedicina. Esa combinación hace que una misma organización pueda sufrir, en diferentes momentos, exposición de datos sensibles, fraude administrativo y extorsión por publicación de información, sin que todos los eventos compartan el mismo vector ni el mismo nivel de impacto.

Desde la óptica de defensa, agosto de 2026 deja dos lecciones especialmente importantes. La primera es que el sector sigue mostrando debilidad en controles básicos de configuración y exposición pública. El caso SISVISA no requirió explotación avanzada, sino una base desprotegida vinculada al portal de vigilancia sanitaria y licenciamiento del gobierno brasileño. En otras palabras, el problema no fue una vulnerabilidad zero-day, sino una falla de higiene operativa y de gestión de activos. La segunda lección es que los esquemas de fraude que alcanzan a clínicas y sanatorios no siempre pasan por ransomware ni por intrusión directa sobre el core de la organización. El caso EsSalud Lambayeque, así como el de Sanatorio San José en Paraguay, se apoyó en ingeniería social, acceso remoto y manipulación de flujos de autorización. Eso obliga a ampliar la conversación de ciberseguridad hacia fraude, continuidad financiera y controles contables.

También se observa una maduración de la extorsión sobre salud como ecosistema y no solo como conjunto de hospitales aislados. Kazu, por ejemplo, aparece como un actor que no se limita a instituciones asistenciales, sino que persigue plataformas de PACS en nube, software de rehabilitación, telemedicina, consultorios y servicios de gestión clínica. Este enfoque tiene lógica criminal: al comprometer a un proveedor de la cadena, el atacante puede alcanzar múltiples clientes o forzar negociaciones de mayor valor, incluso si la víctima directa no es una gran red hospitalaria. Direwolf, por su parte, fue observado publicando varias víctimas en una misma ventana temporal, incluyendo hospitales y tech, lo que sugiere una presión por volumen y visibilidad en su leak site. Para los defensores, el mensaje es que la superficie de riesgo se extiende más allá del perímetro institucional y debe incorporar terceros, SaaS, almacenamiento en nube y proveedores de soporte.

Un segundo patrón que se repite es la debilidad en la gestión de credenciales y sesiones. En EsSalud Lambayeque, los atacantes se habrían valido de acceso remoto y del uso de usuarios y claves proporcionados por personal interno, además de suplantar soporte legítimo. En Paraguay, el banco involucrado insistió en que el fraude se basó en engaño al usuario y sitios web falsos, no en vulneración de su core. En ambos escenarios, la defensa técnica pura no alcanza si los procesos de autenticación, validación de identidad y confirmación de pagos siguen descansando demasiado en la confianza operativa. En salud, donde el tiempo apremia y las urgencias clínicas pueden presionar al personal, este tipo de manipulación es especialmente eficaz.

La situación regulatoria tampoco es homogénea. Brasil mostró capacidad de detección por parte de investigadores y respuesta rápida para retirar el acceso público, pero sin una comunicación oficial robusta que cerrara dudas sobre la duración de la exposición. Perú, en cambio, combinó denuncia formal, acciones legales y presión pública sobre el banco para recuperar los fondos, pero el debate terminó derivando hacia la posible participación de funcionarios internos. Chile y Argentina se movieron más en el plano de monitorización de leak sites y análisis de inteligencia de amenazas, con menor confirmación institucional visible. Esa disparidad implica que el analista regional debe leer cada caso con cautela: lo que en un país aparece como "incidente" en un feed de ransomware puede ser, en otro, solo una reclamación no verificada; y lo que en un país se etiqueta como fraude bancario puede esconder problemas de identidad, de proceso o de control interno.

Indicadores

• Incidentes de ransomware/extorsión con mención o reclamo en el período: múltiples reclamaciones sobre salud y servicios sanitarios, con distintos niveles de confirmación pública.
• Exposiciones de bases de datos o documentos sensibles del sector salud: al menos un caso de gran volumen en Brasil con 102.215 registros y ~79 GB expuestos.
• Fraudes financieros con afectación a prestadores de salud: un caso mayor en Perú con S/ 1.406.991 y un caso en Paraguay con 350 millones de guaraníes repuestos al sanatorio.
• Casos con confirmación oficial limitada o ausente: varias reclamaciones de ransomware sobre hospitales y clínicas sin validación pública independiente.
• CVEs críticas observadas en el material analizado del período: 1 vulnerabilidad destacada por aviso oficial del CTIR Gov, vinculada a SQL Server y al catálogo KEV de CISA.

Incidentes

Brasil: exposición masiva en SISVISA y presión sobre la vigilancia sanitaria

El caso SISVISA es uno de los más sólidos del mes en términos probatorios, porque no depende de la narrativa de un actor de extorsión ni de una filtración en un portal clandestino, sino de un hallazgo técnico de base de datos expuesta. Jeremiah Fowler, de ExpressVPN, encontró una base vinculada al portal de vigilancia sanitaria y licenciamiento del gobierno brasileño que dejó accesibles 102.215 documentos y alrededor de 79 GB de información. Security Affairs detalló que la base contenía identificadores, datos fiscales y documentos regulatorios sin autenticación, mientras que Computer Weekly Brasil añadió un inventario más amplio: pedidos de licenciamiento, autorizaciones, informes de inspección, documentación de conformidad, reclamaciones de ciudadanos y dos archivos compactados de respaldo.

La importancia del caso no radica solo en la cantidad. En salud pública y regulación sanitaria, documentos de inspección, expedientes de licenciamiento y reclamaciones ciudadanas pueden revelar relaciones entre empresas, establecimientos, supervisores y procesos de cumplimiento. Es decir, no hablamos únicamente de datos personales aislados, sino de un mapa operativo del ecosistema sanitario. Para un adversario, eso puede servir para reconocimiento, extorsión reputacional, fraude documental o preparación de campañas posteriores contra prestadores y autoridades. Para el sector público, la exposición implica también riesgo de confianza institucional: un sistema que debería certificar y fiscalizar termina exponiéndose por fallas de configuración, debilitando el mensaje regulatorio.

Un punto clave de la cronología es la respuesta posterior a la advertencia responsable. Security Affairs indicó que el acceso público se desactivó poco después de enviar alertas a varias agencias, pero no existió respuesta oficial pública y no se sabe por cuánto tiempo estuvo expuesta la base ni si terceros accedieron a los archivos. Esa falta de precisión es relevante porque impide una evaluación completa del daño. En ciberseguridad defensiva, el tiempo de exposición importa casi tanto como la naturaleza de la información: una base visible durante minutos, horas o días cambia radicalmente el riesgo. El caso, por lo tanto, debe leerse como una alerta sobre gobernanza de activos expuestos, revisión de permisos, segregación entre entornos operativos y remediación verificable.

Bahia Notícias añadió una dimensión adicional al señalar que el hallazgo del SISVISA también contenía información de la salud de una prefeitura del interior de Bahía, incluyendo registros de atención, pacientes y profesionales. Ese dato amplía el impacto potencial porque sugiere que el conjunto expuesto no se limitaba a documentación regulatoria genérica, sino que podría incorporar información clínica o asistencial de un ámbito municipal. Aunque la fuente no permite cuantificar cuántos registros de ese tipo había, sí refuerza la necesidad de tratar la exposición como un incidente de alto valor sensible. En términos operativos, la lección es sencilla: cualquier sistema conectado a vigilancia sanitaria, licenciamiento o inspección debe ser tratado como un activo crítico y sometido a controles equivalentes a los de una historia clínica electrónica o una plataforma de laboratorio.

Brasil: Mobilemed y el patrón de Kazu contra la cadena sanitaria

Mobilemed apareció en varios monitores de inteligencia como víctima del grupo Kazu. Ransomware.live la listó con una supuesta exfiltración de 23,5 TB y un rescate estimado en US$ 1,5 millón, mientras Dexpose.io reportó que Kazu habría atacado a la empresa sin que, al momento de su cobertura, hubiera comunicado público que confirmara o detallara el alcance del incidente. La naturaleza del caso sigue siendo una reclamación no verificada de manera independiente, pero el patrón es consistente con el comportamiento del grupo durante agosto: publicación de múltiples objetivos del sector salud en una sola jornada y orientación hacia servicios que sostienen la operación clínica.

Mobilemed se describe como proveedor brasileño de PACS en la nube para imágenes médicas. Ese detalle es crucial porque un PACS no es solo un repositorio técnico: es parte del flujo diagnóstico. Si se compromete una plataforma de este tipo, el impacto potencial toca la continuidad asistencial, la disponibilidad de imágenes para médicos y la integridad de información radiológica. Incluso cuando el incidente no se haya confirmado públicamente, la mera inclusión del proveedor en el leak site obliga a los clientes a revisar relaciones contractuales, acuerdos de notificación, copias de seguridad y capacidad de conmutación. Para una red hospitalaria, depender de un PACS externo significa que una extorsión al proveedor puede traducirse en demoras diagnósticas o en necesidad de activar procedimientos manuales.

El valor analítico del caso se incrementa al observarlo junto a otras víctimas listadas por Kazu el mismo día. Security Arsenal indicó que el 23 de agosto el grupo publicó nueve víctimas en total, de las cuales siete eran organizaciones sanitarias o plataformas SaaS vinculadas a salud. Medrisk.io añadió que entre ellas hubo entidades de distintos países y tipos de servicio: Instituto Ferrero de Neurología y Sueño, Brazil Mobilemed, Meducar, ConsultorioMovil, Centro Médico Especializado OSI y otros servicios de gestión de salud. Esto sugiere una campaña amplia, con foco en el ecosistema y no solo en prestadores grandes. En términos de defensa, el reto no es únicamente blindar el hospital, sino también mapear al proveedor de turnos, al de telemedicina, al de imagen y al de soporte remoto.

Brasil: el aviso del CTIR Gov sobre SQL Server y la necesidad de parches inmediatos

El CTIR Gov publicó el ALERTA 76/2026 sobre una vulnerabilidad crítica de SQL Server, recomendando identificar versiones vulnerables y aplicar de inmediato los parches del fabricante. El aviso menciona además que la falla figura en el catálogo KEV de CISA y que tiene un EPSS de 44,66%. Para el sector salud, esto es particularmente relevante porque SQL Server suele sostener sistemas de historia clínica, laboratorios, facturación, ERP y repositorios auxiliares. En otras palabras, no es una pieza de infraestructura lejana al negocio: es un componente potencialmente central.

La aparición de una alerta oficial así en el mismo mes en que se reportan exposiciones y reclamaciones de ransomware obliga a interpretar el riesgo como acumulativo. No se trata únicamente de que exista una CVE crítica, sino de que los entornos sanitarios suelen combinar versiones heterogéneas, ventanas de mantenimiento complicadas y dependencias de terceros. Cuando un aviso oficial señala KEV y un EPSS elevado, la prioridad defensiva debería ser inmediata. Esto no significa que todo SQL Server en la región esté comprometido; significa que los equipos deben inventariar, verificar exposición, revisar segmentación y confirmar la aplicación real de parches, no solo su aprobación administrativa.

Perú: EsSalud Lambayeque, fraude financiero y colisión entre ciberseguridad y control interno

El caso de EsSalud Lambayeque es uno de los más complejos del período porque no encaja en la narrativa típica de ransomware o de breach de datos, sino en un fraude financiero mediado por acceso remoto y suplantación de soporte. La denuncia formal presentada por EsSalud ante la Policía Nacional del Perú y el Ministerio Público indicó que cinco transferencias bancarias no autorizadas desviaron S/ 1.406.991 desde una cuenta de la Red Prestacional Lambayeque. El hecho se produjo el 14 de agosto, después de que personas que se hicieron pasar por soporte de Scotiabank obtuvieran acceso remoto a equipos de la entidad mediante usuarios y claves entregados por personal de la red.

Infobae Perú agregó que el modus operandi incluyó el uso de programas de acceso remoto como AnyDesk y UltraViewer, además de la suplantación de soporte de Scotiabank para capturar claves y token bancario. El Machete y La República documentaron que se detectaron cinco órdenes bancarias no reconocidas, cargadas por diferentes mecanismos de transferencia, y que hubo diez personas naturales y jurídicas denunciadas ante la Divincri de Chiclayo. Desde el punto de vista operativo, el caso muestra una mezcla de vectores: ingeniería social telefónica o digital, abuso de herramientas legítimas de administración remota y debilitamiento del control de aprobación en el flujo de pagos.

La cobertura se endureció aún más cuando la Segunda Fiscalía Provincial Penal Corporativa de Chiclayo decidió investigar a cuatro funcionarios de EsSalud por presunto peculado, al considerar que la salida del dinero habría contado con intervención directa de responsables de la cuenta. Esa decisión es clave porque desplaza el foco desde un incidente puramente externo hacia una posible colusión interna o, al menos, hacia una falla grave de segregación de funciones. Para CISOs y auditores, el aprendizaje es que la seguridad técnica no puede estar separada de la gestión de permisos, del principio de doble control y de la trazabilidad en aprobaciones. Si un atacante convence a un operador para facilitar acceso remoto y luego ejecuta operaciones financieras, la organización no solo necesita antivirus o EDR: necesita procesos de verificación humana fuera de banda, prohibición o control estricto de software de acceso remoto y alertas por comportamiento anómalo en pagos.

Hay un segundo matiz importante: el caso se movió en un entorno de disputa pública con el banco. Itaú Paraguay aclaró en otro incidente relacionado que sus sistemas no fueron vulnerados y que los fraudes obedecían a ataques orientados al engaño de usuarios; en EsSalud, la institución afectada reclamó explicaciones a Scotiabank por fallas en mecanismos de seguridad y pidió congelar las cuentas receptoras. Es decir, las responsabilidades se distribuyen entre banco, usuario, personal interno y procesos de control. Ese tipo de fricción es común en fraudes financieros, pero también revela una debilidad de gobernanza: cuando no existe claridad previa sobre quién valida qué, la respuesta al incidente se convierte en una negociación posterior y no en un mecanismo preventivo.

Perú: Centro Médico Especializado OSI y la campaña de Kazu sobre servicios clínicos

Centro Médico Especializado OSI: Healthcare Solutions, con sede en Lima y especializado en medicina física, rehabilitación, fisioterapia, quiropráctica y medicina alternativa, apareció en el leak site atribuido a Kazu. Medrisk.io contextualizó el caso dentro de una jornada en la que el grupo publicó ocho objetivos del sector salud; Security Arsenal amplió luego el mapa a nueve víctimas totales, de las cuales siete eran sanitarias o SaaS vinculados a salud. Dexpose.io informó que el grupo habría amenazado con divulgar datos médicos sensibles si no se concretaban negociaciones, mientras ransomware.live registró un rescate de US$ 250.000 para el caso.

Aunque la institución no había emitido un comunicado público al momento de la cobertura, el caso es importante por la clase de actor y por el tipo de víctima. OSI no es solo una clínica aislada: el boletín de ransomware.mx la describió como un proveedor de salud con múltiples clínicas en el área metropolitana de Lima, especializado en servicios de rehabilitación y medicina física. Si un actor de extorsión reivindica acceso a ese entorno, el potencial impacto no se limita a datos administrativos: puede tocar agendas de pacientes, diagnósticos, tratamientos de larga duración y relaciones con aseguradoras o derivaciones. Además, al ser un proveedor multi-sede, una interrupción puede tener efecto cascada sobre varias clínicas y sobre el flujo de pacientes en la capital.

El punto de fondo es que Kazu parece privilegiar objetivos que permitan extorsión escalable. Al ir contra telemedicina, PACS, gestión de consultorios y centros especializados, el grupo ataca eslabones que concentran información, credenciales y continuidad operacional de varios clientes o sedes. Para un CISO de salud, eso implica que la evaluación de riesgo debe incluir no solo a la propia organización, sino a sus partners de digital health. Si el proveedor de plataforma cae, la clínica queda expuesta aun sin haber sido intrusada directamente. La estrategia defensiva debe incorporar inventario de SaaS críticos, exigencia de MFA, segregación de entornos, copias offline y cláusulas contractuales de notificación temprana.

Paraguay: Sanatorio San José, desvío de fondos y disputa por la narrativa del incidente

El caso del Sanatorio San José de Ciudad del Este ilustra bien cómo una misma situación puede narrarse de formas distintas según la fuente. Diario Vanguardia informó que Joaquín Andrés Duarte Ojeda fue detenido en Areguá en el marco de la investigación por el desvío de 350 millones de guaraníes desde las cuentas corporativas de la institución, bajo presunta estafa informática y acceso indebido a sistemas. La denuncia presentada el 31 de julio detalló dos transferencias no autorizadas, una por 250 millones y otra por 100 millones, usando el usuario de una funcionaria sin facultades para aprobar pagos mediante token transaccional. El medio agregó que el sistema bancario registró las operaciones como cargadas manualmente y que los directivos autorizados no recibieron alertas ni códigos de verificación.

La Nación recogió la detención y señaló que la cuenta del sanatorio habría sido "hackeada", lo que llevó el caso a la conversación pública como ejemplo de vulneración de una entidad prestadora de salud privada. Sin embargo, Itaú Paraguay difundió un comunicado aclarando que sus sistemas de seguridad no fueron vulnerados y que los hechos correspondían a ataques informáticos orientados a engañar a los usuarios para obtener credenciales de acceso. Esa declaración no elimina el incidente; simplemente redefine el vector y desplaza el foco hacia el usuario y el proceso de validación.

La cobertura periodística posterior añadió que el caso formaba parte de un presunto esquema más amplio de vaciamiento de cuentas bancarias que involucraba al menos dos empresas estafadas por un total aproximado de 356 millones de guaraníes. Ese dato sugiere una operación de fraude financiera reutilizable, más que un ataque aislado contra una institución de salud. Para el sector, la implicancia es clara: las áreas administrativas deben ser tratadas como superficie de riesgo de primer nivel. No basta con proteger historias clínicas; hay que proteger cuentas corporativas, accesos a banca electrónica, flujos de pago a proveedores y procedimientos de recuperación de cuenta. Una clínica o sanatorio puede tener buena protección perimetral y aun así perder fondos si un empleado autoriza sesiones remotas o si un atacante logra inducir la carga manual de transferencias.

Paraguay: señales de ciberincidentes en salud y presión política

Más allá del caso concreto de Sanatorio San José, Paraguay mostró en agosto una conversación pública más amplia sobre ciberseguridad en salud. En una entrevista del 24 de agosto, un especialista afirmó que durante el último año se habían registrado incidentes que involucraron al Instituto de Previsión Social, datos médicos, información de medicina prepaga en varios sanatorios, servicios de diagnóstico de imágenes en Ingavi y empresas privadas, aseguradoras y cooperativas. La fuente no aportó detalles técnicos ni fechas específicas, por lo que no puede usarse para conteo de incidentes del mes, pero sí refleja una percepción creciente de exposición transversal en el ecosistema sanitario paraguayo.

A ello se sumó la diputada Rocío Vallejo, que en una nota del 18 de agosto mencionó ciberataques recientes a instituciones privadas de salud y entidades del Estado como argumento para impulsar la ley de ciberseguridad. La parlamentaria también denunció el robo de unos 5.800 dólares desde su cuenta bancaria, con la Policía Nacional atribuyendo el hecho a un posible malware operado de forma remota. Aunque este último caso no pertenece a salud, ayuda a entender el clima de amenaza que rodea a los fraudes financieros en el país y por qué el debate legislativo sobre seguridad digital gana tracción.

Para un CISO del sector salud paraguayo, el aprendizaje es doble. Primero, que la exposición no se limita a ransomware visible: también hay fraude de cuentas, acceso remoto abusivo y posible malware bancario. Segundo, que la conversación política está evolucionando hacia una mayor expectativa de diligencia institucional. Si la narrativa pública empieza a asociar salud con fragilidad digital, los prestadores tendrán más presión para demostrar controles concretos, no solo declaraciones de cumplimiento.

Chile: Hospital Clínico Universidad de Chile en el leak site de Direwolf

El Hospital Clínico Universidad de Chile fue listado por Direwolf como víctima en su portal de filtraciones, según múltiples monitoreos de threat intelligence. El registro de Ransomware.live lo sitúa como víctima del grupo Direwolf con fecha estimada de ataque el 30 de agosto de 2026, 240 GB supuestamente exfiltrados y 1.633 usuarios comprometidos; HookPhish le asignó el dominio redclinica.cl y fechó la brecha en el 30 de agosto, con descubrimiento unos minutos después; Ransom-DB añadió la identificación del hospital como institución universitaria pública ubicada en Independencia, Santiago, y señaló el dominio hospital.uchile.cl. Security Arsenal, por su parte, analizó la actividad de Direwolf durante 24 horas y encontró que el Hospital Clínico Universidad de Chile figuraba entre tres víctimas publicadas en ese lapso, dos de las cuales pertenecían al sector salud.

Es importante subrayar lo que no sabemos. Ninguna de estas fuentes aporta confirmación pública del hospital, ni reguladores ni firmas de ciberseguridad ni la institución habían validado oficialmente la acusación al momento del análisis. Tampoco hay evidencia técnica pública que permita determinar si hubo cifrado, solo exfiltración o mera reivindicación en leak site. Aun así, el caso tiene utilidad operativa porque muestra la dinámica de monitoreo que deben seguir los equipos de respuesta. Cuando un hospital aparece en un portal de extorsión, aunque no exista confirmación, la respuesta mínima incluye revisión de logs, análisis de accesos, validación de integridad, comunicación con socios de respuesta y monitoreo de publicaciones subsecuentes.

La ventana temporal reportada por HookPhish es particularmente interesante: una marca de "date of breach" a las 14:35:36 UTC y un descubrimiento a las 14:53:50 UTC del mismo día. Esa cercanía no prueba rapidez de detección interna, sino capacidad de un sistema de rastreo para registrar el post del leak site casi al momento. Para defensa estratégica, lo relevante es que el monitoreo externo de ransomware se ha vuelto una señal complementaria de alerta temprana. Si un hospital tiene un acuerdo de inteligencia de amenazas, debería aprovechar ese tipo de feeds para activar revisión inmediata cuando un nombre institucional aparezca en un sitio de extorsión.

Argentina: Sanatorio Modelo de Caseros y la expansión regional de Qilin

Aunque las menciones sobre Sanatorio Modelo de Caseros aparecen en el material como reclamación de ransomware atribuida a Qilin y sin confirmación pública, el caso aporta contexto regional porque se suma a una secuencia de objetivos de salud en el Cono Sur. MedRisk señaló que el 26 de agosto Qilin añadió al sanatorio privado del Gran Buenos Aires a su sitio de filtraciones, afirmando haber robado datos internos; Hendry Adrian describió un incidente de ransomware con cifrado de archivos críticos e interrupción de operaciones, aunque sin comunicado oficial del sanatorio al momento de la cobertura. Como la fuente principal es de inteligencia de amenazas y no de validación institucional, el caso debe leerse como una reivindicación no confirmada.

Aun así, la coincidencia temporal con otros eventos de salud en agosto es útil para la lectura de tendencia. Cuando un actor como Qilin suma sanatorios privados a su lista, se confirma que los hospitales y centros asistenciales argentinos siguen siendo parte del radar de los grupos de extorsión, incluso cuando no dominan los titulares nacionales. Para los CISO de la región, el punto operativo es no esperar confirmación pública para revisar exposición: la aparición en un leak site, por sí sola, ya exige vigilancia de credenciales, rotación de claves y verificación de respaldos.

McKesson: incidente en nube y alcance transfronterizo de la cadena farmacéutica

McKesson informó que el 25 de agosto de 2026 detectó un incidente de ciberseguridad que incluyó acceso no autorizado y extracción de datos desde cuentas alojadas en la nube, confirmando la intrusión y la exfiltración mientras continuaba investigando el alcance de la información afectada. Aunque la cobertura citada no proviene de una fuente latinoamericana, el caso es relevante para el informe por la cadena de suministro farmacéutica y su impacto potencial en mercados internacionales. DiarioBitcoin reportó además que un grupo de hackers afirmaba haber robado millones de registros de pacientes mediante intrusión en varias cuentas corporativas en la nube; esa cifra no estaba confirmada por la empresa y debe tratarse como reivindicación de los atacantes.

La importancia para América Latina radica en que proveedores globales de distribución y servicios farmacéuticos pueden interconectarse con operaciones regionales, logística, compras o apoyo de datos. Cuando una compañía de este tamaño confirma exfiltración desde cuentas cloud, la lección para las farmacéuticas locales es obvia: la nube no es inherentemente segura por estar administrada por un tercero. Los controles de identidad, monitoreo de sesión, segmentación por privilegio y detección de actividad anómala siguen siendo responsabilidad compartida.