Aviso Ciberseguridad
Comunicación violación de seguridad
En cumplimiento del artículo 34 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), Silvia Beatriz, S.L. (en adelante, “el hospital” u “Hospital Los Madroños”) hace constar a través del presente comunicado que el pasado 07 de marzo de 2025 se ha detectado una violación de seguridad en nuestros sistemas.
Esta brecha se debió a un ataque de tipo ransomware, atribuido al grupo Qilin, que logró cifrar (encriptar) nuestros sistemas informáticos y extraer copias no autorizadas de datos almacenados en ellos.
Los ciberdelincuentes han publicado datos en su blog, por este motivo, un número no determinado de datos de carácter personal de empleados, proveedores y pacientes han sido afectados.
Lamentamos profundamente lo ocurrido y queremos brindarles información clara sobre lo sucedido, las medidas tomadas y cómo proteger sus datos.
- Naturaleza de la brecha de seguridad: el ataque ransomware Qilin infectó la red interna del hospital, bloqueando temporalmente el acceso a la información al cifrarla. Adicionalmente, los atacantes extrajeron datos confidenciales durante el incidente, que, posteriormente, han publicado en su blog sin que actualmente hayamos podido determinar con precisión su alcance. En resumen, se produjo tanto la encriptación de nuestros archivos como la exfiltración de información y publicación.
- Datos personales afectados: los datos afectados pueden variar en función de las categorías de interesados:
a. Empleados: pueden incluir datos como el Documento nacional de identidad (DNI), Datos académicos y de formación, Datos derivados del empleo, Número de cuenta bancaria, entre otros. Puede consultar información adicional, aquí.
b. Proveedores: pueden incluir datos identificativos (nombre y apellidos de persona de contacto, teléfono, cargo, dirección de correo electrónico de trabajo y, en algunos casos, DNI/NIF si nos fue proporcionado para contratos), información de cuenta bancaria, entre otros. Puede consultar información adicional, aquí.
c. Pacientes: Datos identificativos: información personal básica como nombre y apellidos, documento de identidad (DNI/NIE), fecha de nacimiento, domicilio, número de teléfono y otros datos de contacto que obran en nuestros sistemas, así como datos relativos a su historial clínico (información sobre su salud y atención médica, como diagnósticos, tratamientos, resultados de pruebas y notas de sus médicos) Puede consultar información adicional, aquí.
- Medidas adoptadas por el hospital: tan pronto como tuvimos conocimiento del incidente, activamos nuestro protocolo de respuesta ante brechas de seguridad. A continuación, detallamos las principales medidas implementadas para resolver la situación y mitigar el impacto:
- Aislamiento y contención: desconectamos de inmediato los sistemas afectados para impedir la propagación del ransomware a otros sistemas del hospital. Esto limitó el alcance del ataque y protegió datos adicionales.
- Equipo de respuesta especializado: nuestros técnicos de informática, junto con expertos externos en ciberseguridad, trabajaron intensivamente para eliminar el malware de la red y asegurar cada equipo. Paralelamente, estamos llevando a cabo una investigación forense para determinar con precisión cómo ocurrió el ataque y qué información fue accedida.
- Recuperación de datos: estamos restaurando los sistemas e historiales desde copias de seguridad seguras. Gracias a estas copias de respaldo, hemos podido recuperar la mayoría de la información cifrada y reanudar los servicios clínicos con normalidad, minimizando la interrupción en la atención sanitaria.
- Notificación a autoridades: hemos informado puntualmente de la brecha a las autoridades competentes. En concreto, se notificó a la Agencia Española de Protección de Datos (AEPD) y se presentó denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado.
- Refuerzo de la seguridad: como medida preventiva adicional, se ha actualizar y fortalecer los sistemas de protección (firewalls, antivirus, sistemas de detección), aplicar parches de software, y establecer protocolos adicionales de monitorización 24/7 para detectar cualquier actividad anómala de inmediato.
- Impacto que puede suponer esta brecha de seguridad: en base a esta brecha de seguridad, se podrían generar consecuencias tales como, menoscabo en sus derechos fundamentales (salud y privacidad), suplantación de identidad o fraude, entre otros.
- Recomendaciones para proteger sus datos personales: entendemos su preocupación y recomendamos encarecidamente tomar medidas de precaución adicionales para proteger su información personal:
- Supervisión de cuentas bancarias:
- Verificación de comunicaciones financieras:
- Cautela con correos y llamadas sospechosas
- Notifiquen incidentes o sospechas a las fuerzas y cuerpos de seguridad del estado.
- Contacto para dudas y asistencia: Ponemos a su disposición nuestros canales de contacto para cualquier pregunta, aclaración o necesidad de apoyo relacionado con esta brecha de seguridad. Pueden comunicarse con el Delegado de Protección de Datos del Hospital o con el equipo de seguridad de la información a través de:
- Correo electrónico: dpo@lmh.es
- Teléfono de asistencia: 918 16 35 26
Nuestro objetivo es proteger su privacidad y atender sus inquietudes con total transparencia.
Finalmente, expresamos nuestras sinceras disculpas por los inconvenientes que esta situación pueda ocasionarles. Sabemos que confían en nosotros para manejar sus datos de manera segura, y lamentamos profundamente que haya ocurrido este incidente a pesar de las medidas de protección con las que contábamos. Vamos a continuar trabajando arduamente para mejorar nuestros sistemas de seguridad y evitar que algo similar vuelva a suceder.
