Resumen ejecutivo

CareCloud identificó acceso no autorizado entre el 10 y el 16 de marzo de 2026 a uno de sus entornos EHR alojados en AWS, tras una interrupción de red detectada el día 16. La revisión confirmó la exposición o sustracción de datos médicos, de seguros, financieros y de identidad; los resúmenes publicados por fiscales estatales sitúan el alcance conocido en al menos 345.000 personas. La compañía sostiene que el acceso quedó contenido en el entorno afectado y que no ha detectado nueva actividad no autorizada desde el 16 de marzo. Para hospitales y consultas clientes, el riesgo central es la dependencia de un proveedor EHR con acceso concentrado a datos clínicos de alto impacto.

Puntos clave

  • El actor accedió durante seis días a un entorno EHR en AWS y afirmó haber extraído bases de datos.
  • Los datos varían por persona e incluyen nombres, domicilios, fechas de nacimiento, números de Seguridad Social, identificadores oficiales, cuentas y tarjetas, además de información médica y de seguros.
  • CareCloud ha empezado a notificar a los afectados y ofrece 24 meses de protección frente al robo de identidad; el total definitivo aún podría cambiar.

HIPAA

CareCloud presta servicios a hospitales y consultas y puede actuar como business associate. Deben coordinarse la investigación, la evaluación de riesgo y las notificaciones entre el proveedor y cada covered entity, sin asumir que una comunicación centralizada sustituye las obligaciones documentales de cada organización.

ENS

No consta afectación a sistemas españoles sujetos al ENS. Para organizaciones dentro de su ámbito, un EHR cloud equivalente exige delimitar responsabilidades, registrar accesos privilegiados, mantener segregación entre clientes y comprobar que el proveedor puede aportar evidencias suficientes para investigar y notificar incidentes.

NIS2

El caso demuestra riesgo de concentración en proveedores clínicos. Las entidades sanitarias europeas sujetas a NIS2 deben integrar a los proveedores EHR en la gestión de cadena de suministro y evaluar si una intrusión de este tipo constituye un incidente significativo conforme a la transposición nacional.

MDR

La información publicada describe un entorno EHR y no identifica un dispositivo médico afectado, por lo que no se aprecia impacto MDR directo. La conclusión tendría que revisarse si el entorno intercambiara datos o instrucciones con software o dispositivos cuya seguridad o funcionamiento clínico pudieran verse afectados.

GDPR

Si el conjunto comprometido incluyera datos de personas en la UE/EEE, la combinación de identificadores, información financiera y datos de salud elevaría el riesgo para los afectados. El responsable tendría que valorar los artículos 33 y 34, mientras el encargado debe comunicar el incidente sin dilación indebida y aportar información suficiente para cumplir los plazos.

Recomendación

Cada cliente debe confirmar por escrito si su población y sus datos están incluidos, obtener indicadores y cronología del incidente, revisar registros propios de acceso al EHR y preparar notificaciones coherentes. En paralelo, conviene rotar credenciales y cuentas de servicio vinculadas, verificar la segregación entre tenants, probar restauración desde copias inmutables y endurecer el contrato con plazos breves de aviso, derecho de auditoría y conservación de evidencias.

Fuente: HIPAA Journal

Este análisis es parte de HealthSec.