La compañía francesa de tecnología sanitaria Cegedim sufrió un grave ciberataque a finales de 2025 que comprometió los datos personales de aproximadamente 15 millones de pacientes, según confirmaron las autoridades el miércoles. Los hackers explotaron vulnerabilidades en el software médico de la empresa, de uso generalizado, para robar nombres, direcciones y, en ciertos casos, notas médicas sensibles que incluían diagnósticos de patologías e información personal.
La filtración afectó al software «Mon Logiciel Médical» (MLM) de Cegedim, un sistema de gestión de consultas médicas muy extendido; según la empresa, 1.500 de los 3.800 profesionales médicos que utilizaban la plataforma resultaron directamente afectados. La intrusión permaneció indetectada durante meses hasta que los equipos de seguridad de Cegedim identificaron un comportamiento anómalo en la plataforma y presentaron una denuncia ante la Fiscalía de París el 27 de octubre de 2025.
La brecha se hizo pública recién esta semana cuando France 2 informó por primera vez sobre el incidente, lo que provocó la confirmación inmediata de Cegedim y del Ministerio de Sanidad. Según Le Monde, uno de los hackers ya ha publicado una muestra de los datos robados en línea y ha puesto la base de datos completa a la venta en un foro, alegando que contiene información de 19 millones de pacientes, una cifra superior a las estimaciones oficiales.
Gravedad de la información comprometida
Si bien los datos administrativos, que incluyen nombres, números de teléfono y direcciones, quedaron expuestos para la gran mayoría de las víctimas, unos 169.000 pacientes sufrieron una vulneración mucho más grave. En el caso de este subgrupo, los hackers accedieron a notas médicas en texto libre que contenían detalles altamente sensibles sobre enfermedades específicas, incluido el SIDA, la sexualidad del paciente y circunstancias personales como tener familiares en prisión, según los medios que revisaron los datos.
Los expertos en ciberseguridad advirtieron que el carácter permanente de los datos médicos los hace especialmente valiosos para los delincuentes, quienes pueden utilizarlos para ataques de phishing dirigidos, fraude de identidad médica y campañas de extorsión durante muchos años. La filtración expone un vínculo directo entre los pacientes y sus médicos, lo que genera riesgos de privacidad a largo plazo.
La Fiscalía de París ha abierto una investigación formal por «ataques a un sistema automatizado de datos», asignando el caso a su brigada especializada en ciberdelincuencia. El Ministerio de Sanidad emitió un requerimiento formal exigiendo a Cegedim la implementación inmediata de medidas de seguridad correctivas.
Los expertos consideran que esta podría ser la mayor filtración de datos de salud en la historia de Francia, dejando al descubierto lo que describen como una falta de inversión sistémica en ciberseguridad en todo el sector sanitario. Cegedim ha asegurado los puntos de acceso comprometidos y ha notificado a la autoridad francesa de protección de datos (CNIL), aunque las consecuencias totales para la empresa y las personas afectadas están aún por determinarse.
Sources
- Le Monde
- France Info
