Salud, clínicas, hospitales y farmacéuticas — Septiembre 2026

Amenazas y campañas activas

Ransomware y extorsión con impacto confirmado o probable

En septiembre aparecieron 16 casos con ransomware o extorsión como eje primario, pero solo uno tuvo cifrado de activos confirmado según el material provisto. El resto se distribuyó entre mención en leak site y tipificación no determinable, lo que obliga a separar con cuidado los eventos con daño técnico probado de las simples reivindicaciones de actores o del monitoreo de terceros.

La diferencia es clave para salud. Un leak site puede presionar reputacionalmente sin que haya evidencia de impacto operativo. Una mención sin archivos publicados puede sostener extorsión o intento de monetización. Y un cifrado confirmado, como categoría, cambia por completo el perfil de respuesta porque afecta disponibilidad clínica y continuidad asistencial.

Entre los casos del mes, AmorSaúde, Grupo Hospifar y el Hospital Clínico de la Universidad de Chile quedaron en la zona gris de atribución o confirmación parcial, mientras que el caso del Hospital Santa Marta pertenece a un episodio judicializado de 2022, no a una campaña nueva de septiembre. En cambio, el ataque al Hospital Clínico de la Universidad de Chile sí aparece como incidente confirmado con acceso no autorizado y filtración, aunque el material no lo encuadra como cifrado.

Fraude y phishing

No hubo casos de fraude o phishing documentados en el material de septiembre. La ausencia de hechos en esta categoría no debe leerse como ausencia de riesgo regional, sino como falta de casos verificados dentro del corpus analizado para el mes.

Ese vacío tiene lectura propia. En salud, el phishing suele funcionar como vector de acceso inicial o como complemento de campañas de ransomware, pero no siempre genera cobertura pública separada. Si el reporte mensual no lo refleja, no necesariamente es porque no haya ocurrido, sino porque no hubo documentación suficiente o porque quedó subsumido en otro tipo de incidente.

APT y hacktivismo

Tampoco hubo hechos de APT o hacktivismo documentados como eje principal en el período. Lo más cercano fueron alertas preventivas sobre publicaciones en foros, reclamos de actores y un aviso de posible defacement contra sitios de la Superintendencia de Salud de Paraguay, pero sin confirmación independiente del acceso ni de la autoría.

Para el lector operativo, eso implica que el mes no mostró campañas de persistencia avanzada sobre salud en el material recibido, aunque sí dejó una superficie amplia de exposición atribuida a grupos de extorsión y a actores de publicación oportunista. La frontera entre hacktivismo y criminalidad sigue siendo difusa en la narrativa pública, pero el corpus de septiembre no ofrece pruebas sólidas para clasificar esos casos como APT.

Vulnerabilidades críticas

Septiembre volvió a poner a las vulnerabilidades críticas en la agenda del sector salud regional. El material reunió 11 CVEs críticos mencionados, varios de ellos con explotación activa, advisories oficiales o inclusión en catálogos de vulnerabilidades explotadas. No se trata de una lista de fallas de salud puras, sino de software y dispositivos que pueden afectar servicios clínicos, sistemas de gestión o infraestructura conectada.

La lectura defensiva es directa. No todas estas fallas son del sector salud, pero varias impactan componentes que suelen estar presentes en hospitales, clínicas y laboratorios, como balanceadores, gateways, stacks de red y middleware de integración. Eso significa que la prioridad no es solo parchear sistemas clínicos visibles, sino revisar capas de red y pasarelas que sostienen la operación diaria.

En particular, el material de CISA sobre lwIP resulta relevante para entornos con dispositivos conectados o equipos embebidos. No hubo explotación pública específica reportada en los advisories citados, pero el mero hecho de que el sector Healthcare and Public Health figure como infraestructura crítica relevante obliga a tratar estas vulnerabilidades como potencialmente aplicables a ecosistemas sanitarios con telemetría, sensores o equipos médicos conectados.

Regulación y cumplimiento

No se registraron movimientos regulatorios documentados en el material de septiembre. Eso no significa que el mes haya carecido de consecuencias legales o institucionales, porque sí hubo una sentencia relevante en Brasil y una querella criminal en Chile. La diferencia es que esos hechos se contabilizan aquí como incidentes o respuestas judiciales, no como cambios normativos.

La decisión sobre el Hospital Santa Marta muestra cómo la judicialización puede cerrar el ciclo de un ataque años después. La querella del Hospital Clínico de la Universidad de Chile, por su parte, marca un camino distinto: la institución convierte el incidente en acción penal mientras la agencia de ciberseguridad notifica el evento. Ambos procesos refuerzan la expectativa de trazabilidad y preservación de evidencia en salud.

Desde cumplimiento, el mes deja una señal sencilla. Las instituciones no solo deben responder al incidente, sino también documentar accesos, separar cuentas comprometidas, preservar logs y decidir en qué momento notificar a reguladores, pacientes o autoridades. El material de septiembre muestra que cuando esa secuencia falla, la discusión se traslada a tribunales o a monitoreo externo de terceros.

Países y subsegmentos más afectados

Chile

Chile concentró dos tipos de señal. Por un lado, el caso confirmado del Hospital Clínico de la Universidad de Chile, con acceso no autorizado a información médica y posterior querella. Por otro, alertas preventivas y publicaciones no confirmadas sobre la Clínica Universidad de los Andes, que movieron la conversación sobre posible exposición de datos clínicos estructurados.

El subsegmento más golpeado fue hospitalario, especialmente imagenología y sistemas de consulta. La relevancia de Chile no está en el número bruto de hechos, sino en la calidad de la evidencia: hay confirmación directa, notificación oficial y una narrativa pública clara sobre acceso a datos médicos. Eso le da al país un peso desproporcionado frente a otros casos más ambiguos.

Brasil

Brasil aportó dos señales distintas. La primera fue judicial, con el mantenimiento de condenas por el caso del Hospital Santa Marta. La segunda fue operativa, con el incidente en Farmanguinhos que afectó producción y expedición de insumos. Una toca la dimensión penal del ransomware y la extorsión; la otra, la continuidad industrial de un actor farmacéutico.

El subsegmento farmacéutico merece atención particular porque el caso de Farmanguinhos muestra que un incidente cibernético puede golpear la cadena de suministro sin necesidad de un comunicado de ransomware. Esa clase de evento suele tardar en ser visible para el público, pero tiene potencial de desordenar cronogramas, inventarios y entregas.

Colombia

Colombia fue el país con mayor densidad de lectura contextual, aunque no con más casos puntuales confirmados en el mes. Portafolio reportó 410 ataques y reivindicaciones de ransomware contra prestadores y empresas de salud en el primer semestre de 2026, con 247 afectaciones a hospitales, clínicas y otros prestadores directos. Otras coberturas del mismo núcleo temático insistieron en que el 60% de los ciberataques reportados se dirigieron a salud.

Ese material no debe confundirse con telemetría pura ni con incidentes verificados de septiembre, pero sí explica por qué el país aparece repetidamente en las conversaciones regionales. Para salud colombiana, el problema no es solo la frecuencia, sino la persistencia de un modelo de ataque que combina presión reputacional, extorsión y exposición de historiales o plataformas de atención.

Paraguay

Paraguay apareció en septiembre con alertas preventivas sobre el Ministerio de Salud Pública y Bienestar Social y sobre la Superintendencia de Salud. El material habla de una supuesta publicación de 10,5 GB, de una posible campaña de defacement y de una base de datos de subdominios, pero en todos los casos la fuente o el monitoreo aclaran que no hay confirmación independiente.

El valor del caso está en el patrón: actores o foros usan nombres de organismos sanitarios para instalar presión, incluso cuando la evidencia sigue siendo difusa. Para un equipo de seguridad en un ministerio o regulador de salud, eso obliga a vigilar no solo la infraestructura interna, sino también la exposición pública de subdominios, paneles de administración y repositorios de descarga.

Argentina y República Dominicana

Estos dos países aparecen ligados a la discusión sobre Hospifar, pero con una salvedad importante: el material no permite fijar con certeza la geografía del incidente. Un registro lo clasifica como Argentina, mientras DeXpose lo describe como organización de salud de República Dominicana. Esa discrepancia invalida cualquier lectura definitiva por país.

Aun así, el caso sirve para recordar que la atribución geográfica es una fase crítica del análisis. Si no se resuelve bien, el informe puede sobreestimar o subestimar el riesgo país. Aquí la única conclusión sólida es que hubo una reclamación de ransomware sobre un actor del sector salud o farma, sin evidencia pública suficiente para cerrar ubicación o impacto.

Tendencias y señales a monitorear

La primera tendencia del mes es la caída del volumen frente a agosto, combinada con un aumento en la proporción de incidentes sin tipificar. El período anterior había estado dominado por ransomware, mientras que septiembre pasó a ser dominado por incidentes. Eso sugiere menos claridad pública y más diversidad de situaciones, no necesariamente menos riesgo real.

La segunda señal es el descenso de casos de fraude y phishing a cero en el material analizado. No conviene celebrarlo como mejora estructural. Más bien parece una ausencia documental en el corpus mensual. En salud, estas campañas suelen quedar absorbidas como accesos iniciales o piezas auxiliares de campañas mayores y no siempre se publican como hechos autónomos.

La tercera señal es el rebote de CVEs críticos, de 2 a 11 frente al mes anterior. Ese salto no debería leerse como una ola de explotación en hospitales latinoamericanos, pero sí como un recordatorio de que la superficie técnica está activa. Los avisos de CISA y Check Point muestran que la ventana de exposición puede aparecer en software de red, gateways y herramientas de integración que sostienen servicios clínicos.

La cuarta señal es la persistencia de reivindicaciones sin confirmación, en particular en casos de clínicas, hospitales y ministerios. Hospifar, AmorSaúde, la Clínica Universidad de los Andes y Paraguay comparten un patrón: actores o trackers publican alertas antes de que exista validación oficial. Para equipos de seguridad, eso obliga a diferenciar el ruido del impacto real, pero sin ignorarlo. Muchas veces el reclamo anticipa una negociación o una divulgación posterior.

La comparación con agosto también deja un dato útil. Había más ransomware reportado el mes anterior, pero en septiembre la señal más estable fue la de incidentes y confirmaciones parciales. Dicho de otra manera, el riesgo no desapareció, sino que mutó hacia una mezcla menos visible de acceso no autorizado, filtración y continuidad afectada.

Recomendaciones para equipos de seguridad

Las prioridades del mes son prácticas y bastante concretas. Primero, reforzar la visibilidad sobre sistemas de imagen, portales de consulta, middleware de integración y pasarelas que conectan entornos clínicos con servicios externos. El caso del Hospital Clínico de la Universidad de Chile muestra que una cuenta comprometida en imagenología puede bastar para exponer información médica sensible y obligar a cortar servicios.

Segundo, revisar credenciales y sesiones activas asociadas a dominios públicos, proveedores y plataformas de atención. Los casos de AmorSaúde y Hospifar dejan ver que las publicaciones de terceros suelen mezclar cuentas, credenciales y datos de usuarios con evidencias incompletas. La respuesta correcta no es asumir que todo el conjunto pertenece a un ransomware, sino cortar accesos, rotar secretos y verificar si hubo reutilización de credenciales.

Tercero, priorizar los parches y las mitigaciones sobre los componentes mencionados en los advisories de septiembre. No alcanza con mirar el software clínico visible. Hay que revisar balanceadores, gateways, stacks embebidos y soluciones de integración como Mirth Connect, porque ahí se concentran fallas que pueden abrir camino a ejecución remota o denegación de servicio.

Cuarto, preparar la respuesta legal y forense antes de que el incidente escale. La sentencia sobre el Hospital Santa Marta y la querella del Hospital Clínico de la Universidad de Chile muestran que la evidencia digital termina siendo central. Si una institución no preserva logs, no congela cuentas ni documenta bien la cadena de custodia, pierde capacidad de defensa y de atribución.

Quinto, entrenar la continuidad operativa con escenarios de afectación parcial, no solo cifrado total. Farmanguinhos es un buen ejemplo de interrupción productiva que no necesariamente encaja en el molde del ransomware clásico. La industria farmacéutica y hospitalaria debe ensayar qué pasa si se cae un sistema de expedición, una plataforma de imágenes o un componente de receta electrónica.

Preguntas frecuentes

¿Qué tipo de eventos dominó septiembre entre incidentes, ransomware y filtraciones?

Dominó la categoría de incidentes sin tipificar, con 20 hechos sobre una base de 53 verificados. Eso supera a los 16 casos con ransomware o extorsión como eje primario y desplaza la señal del mes hacia intrusiones, interrupciones y exposiciones parciales. Ver también las secciones Resumen ejecutivo del mes e Indicadores del período.

¿Qué casos quedaron mejor confirmados y cuáles siguieron en zona gris?

El caso mejor confirmado fue el del Hospital Clínico de la Universidad de Chile, con acceso no autorizado y exposición de información médica. En zona gris quedaron AmorSaúde, Hospifar, la Clínica Universidad de los Andes y varias alertas sobre Paraguay, porque el material solo ofrece reclamos, monitoreo o publicaciones no verificadas. Ver Incidentes relevantes y Amenazas y campañas activas.

¿Qué revela la comparación con agosto sobre el riesgo regional?

Revela menos volumen total, menos ransomware y menos phishing documentado, pero más CVEs críticos mencionados y más incidentes no tipificados. Es decir, el mes no fue más tranquilo, sino menos legible. El riesgo siguió alto por la sensibilidad de los activos, aunque cambió la forma visible de la amenaza. Ver Panorama regional del mes y Tendencias y señales a monitorear.

¿Qué países concentraron la señal más útil para defensa este mes?

Chile aportó la mejor confirmación de impacto clínico, Colombia aportó el mayor contexto de presión sobre salud, Brasil mezcló un caso judicial y uno operativo, y Paraguay mostró alertas preventivas sobre organismos sanitarios. Argentina y República Dominicana quedaron sujetas a una atribución geográfica no resuelta en el caso Hospifar. Ver Países y subsegmentos más afectados.

¿Qué vulnerabilidades deberían revisar primero los equipos de salud?

Primero, las que tuvieron explotación activa o advisories de CISA y Check Point, como CVE-2026-94127, CVE-2026-85102 y CVE-2026-93616. Después, las de lwIP y las que afectaron Mirth Connect y otras plataformas de integración. El criterio no es solo severidad técnica, sino exposición en redes hospitalarias y farmacéuticas. Ver Vulnerabilidades críticas.

Limitaciones del material

Este informe se construyó exclusivamente con el material provisto para septiembre de 2026 y con las fuentes disponibles para citar. No se usó internet ni se incorporó telemetría fuera de lo listado. Los hechos sin fecha confirmada se utilizaron solo como contexto y no entran en los indicadores del período.

Un indicador en 0, especialmente en CVEs, significa que no se registraron en el material analizado para este mes, no que no hayan existido vulnerabilidades críticas o explotación en la región. Lo mismo vale para fraude, phishing o regulación. La ausencia en el corpus no equivale a ausencia real de actividad.

La ventana temporal declarada para los indicadores es de 54 hechos con fecha en septiembre de 2026 y 1 sin fecha confirmada excluido de los indicadores. Los datos comparativos con el mes anterior se reproducen tal como fueron provistos y no se recalcularon. Donde el material no permite determinar el tipo exacto de impacto, se mantuvo la clasificación como no determinable.

También quedaron excluidos de la interpretación como incidentes las cifras de telemetría agregada, intentos o bloqueos automatizados y mediciones de detección. Esas referencias pueden ayudar a contextualizar exposición, pero no prueban intrusión ni impacto confirmado. Asimismo, se evitaron fuentes fuera de la lista autorizada, incluidas redes sociales no permitidas y material promocional que no sirva como base independiente de tendencia.