Un historial médico completo puede venderse en la dark web por entre 250 y 1.000 dólares, según estimaciones recogidas por Trustwave y otros investigadores de ciberseguridad. Los datos médicos valen hasta diez veces más que los datos bancarios en los mercados ilegales, y la razón no es difícil de entender: una tarjeta de crédito se cancela en minutos, pero tu diagnóstico de diabetes o tu historial psiquiátrico te acompañan de por vida.
El mercado negro de datos médicos lleva años creciendo en silencio, alimentado por brechas en hospitales, clínicas y aseguradoras, y por una infraestructura digital sanitaria que en muchos países fue diseñada para compartir información entre profesionales sin que nadie pensara demasiado en lo que pasaría si alguien la interceptaba por el camino.
¿Por qué los datos médicos valen más que los datos bancarios?
El valor de un historial médico en el mercado negro viene de su permanencia. Los datos financieros tienen una vida útil corta: en cuanto se detecta el fraude, las cuentas se bloquean y los números pierden valor. Los datos de salud, en cambio, no caducan. Tu grupo sanguíneo siempre será el mismo. Tu diagnóstico de hace diez años seguirá siendo tuyo dentro de veinte.
Esa permanencia hace que los historiales médicos sean especialmente útiles para el robo de identidad médica, una modalidad de fraude en la que alguien utiliza tus datos para recibir tratamientos, reclamar seguros o comprar medicamentos controlados. La víctima puede tardar años en descubrirlo, porque nadie revisa su historial clínico con la frecuencia con que revisa el extracto bancario.
La información que contiene un historial completo va mucho más allá del diagnóstico. Incluye el número de seguridad social, el domicilio, los datos del seguro médico, los medicamentos prescritos y, en muchos casos, información familiar. Es, en términos prácticos, un paquete de identidad casi completo que un estafador puede usar en múltiples frentes al mismo tiempo.
Los investigadores de Experian calculaban ya en 2015 que un historial médico podía valer hasta 10 veces más que un número de tarjeta de crédito robado. Desde entonces, con la digitalización acelerada de la sanidad, la oferta ha crecido pero también la demanda, especialmente en mercados donde el acceso a medicamentos controlados o la cobertura sanitaria se pueden manipular con la identidad de otra persona.
¿De dónde salen estos datos: quién los roba y cómo?
La mayor parte de los datos médicos que circulan en el mercado negro no provienen de hackeos de película, sino de brechas de seguridad en organizaciones con recursos limitados para protegerse. Los hospitales, clínicas privadas y aseguradoras manejan cantidades enormes de datos sensibles, pero muchos operan con sistemas informáticos anticuados, contraseñas débiles y poca formación en ciberseguridad para su personal.
El ataque a Change Healthcare en febrero de 2024 es uno de los ejemplos más recientes y graves. Change Healthcare, una subsidiaria de UnitedHealth Group, procesa alrededor de un tercio de todas las reclamaciones médicas en Estados Unidos. El grupo de ransomware ALPHV/BlackCat accedió a sus sistemas y comprometió datos de más de 100 millones de personas, lo que lo convierte en la mayor filtración de datos sanitarios de la historia del país.
Los métodos de acceso suelen ser bastante convencionales. El phishing dirigido a empleados del sector sanitario es una de las vías más habituales: un correo que parece interno, una página de login falsa, y en segundos alguien tiene credenciales válidas para moverse por la red del hospital. También se explotan vulnerabilidades en software que nadie ha actualizado desde hace años, o se compran accesos directamente a empleados desleales, algo que sucede con más frecuencia de lo que las organizaciones reconocen en público.
El ransomware merece mención aparte. En los últimos años, los hospitales se han convertido en objetivo preferido de este tipo de ataques precisamente porque la presión para pagar es máxima: cuando los sistemas de un hospital quedan cifrados, las consecuencias pueden afectar directamente a pacientes que necesitan atención urgente. El sector sanitario pagó más rescates que ningún otro en 2023, según el informe anual de Sophos sobre el estado del ransomware.
¿Qué hace alguien con tu historial médico robado?
Los usos del historial médico en el mercado negro son más variados de lo que podría parecer. El fraude a aseguradoras es el más rentable: con tu identidad y tus datos de cobertura, alguien puede reclamar reembolsos por tratamientos que nunca recibiste, o acceder a intervenciones costosas que se facturan a tu nombre. En Estados Unidos, el FBI estima que el fraude sanitario cuesta al sistema más de 100.000 millones de dólares anuales, y una parte significativa de esa cifra está relacionada con el robo de identidad médica.
Otro uso habitual es la obtención de medicamentos controlados con receta. Con los datos de un médico y los de un paciente, se pueden falsificar recetas o solicitar recargas de opioides u otros fármacos de alto valor en el mercado negro. Los datos del médico que te trató valen casi tanto como los tuyos propios, porque permiten firmar documentación falsificada con credenciales reales.
En un nivel más sofisticado, los datos médicos pueden usarse para el chantaje directo. Un diagnóstico de VIH, un historial psiquiátrico o un tratamiento por adicciones son información que muchas personas preferirían mantener privada, y algunos actores en estos mercados lo saben y lo explotan. No es el uso más común, pero los casos documentados existen, especialmente cuando los datos pertenecen a personas públicas o con acceso a información sensible en sus trabajos.
Los datos médicos también alimentan el mercado de identidades falsas, donde un historial clínico se combina con otros datos para construir perfiles completos que se venden como paquetes. Cuanto más completo es el perfil, más caro se vende.
¿Qué tan desprotegidos estamos realmente?
La respuesta honesta es que depende mucho de dónde vives y de qué sistema sanitario usas. En Europa, el Reglamento General de Protección de Datos (RGPD) establece obligaciones estrictas para el tratamiento de datos de salud y sanciones que pueden llegar al 4% de la facturación global de una empresa. En la práctica, las multas existen pero las brechas también, y el RGPD no evita los ataques: solo obliga a notificarlos y a tener medidas de protección previas.
En España, el Esquema Nacional de Seguridad establece requisitos de ciberseguridad para las administraciones públicas, incluido el sistema sanitario. Pero los hospitales públicos, con presupuestos ajustados y sistemas heredados de décadas anteriores, no siempre están en condiciones de cumplirlos plenamente. Las auditorías de seguridad en centros sanitarios españoles han detectado vulnerabilidades recurrentes relacionadas con contraseñas débiles, falta de cifrado en las comunicaciones internas y software sin actualizar.
En Estados Unidos, la norma HIPAA (Health Insurance Portability and Accountability Act) lleva vigente desde 1996 y regula cómo deben protegerse los datos médicos. Sin embargo, las sanciones por incumplimiento han sido históricamente bajas en comparación con el daño causado, y los ciberataques al sector sanitario no han dejado de crecer. El Departamento de Salud y Servicios Humanos de EE.UU. registró más de 700 brechas de datos en instituciones sanitarias solo en 2023.
Una parte del problema es estructural. La sanidad funciona sobre la base del intercambio de información entre profesionales y sistemas: médicos de cabecera, especialistas, farmacias, laboratorios, aseguradoras. Cuantos más puntos de acceso tiene un sistema, más superficie de ataque existe. Y la digitalización, que en muchos aspectos mejora la atención al paciente, también amplía esa superficie.
Lo que el paciente puede hacer es limitado pero no es nada. Revisar periódicamente los movimientos asociados al seguro médico, pedir un resumen de historial clínico para detectar tratamientos que no reconoces, y ser cauteloso con las apps de salud que solicitan acceso a datos clínicos son pasos concretos. Quién compra tus datos de salud va mucho más allá de los hackers, e incluye a actores completamente legales que operan en un mercado que apenas regula lo que hace con esa información.
El problema de las contraseñas afecta también al personal sanitario que accede a los sistemas clínicos. Muchas brechas empiezan por credenciales comprometidas, y las contraseñas de ocho caracteres llevan años siendo insuficientes frente a las herramientas de fuerza bruta actuales, aunque siguen siendo la norma en muchos entornos hospitalarios.
Las apps de salud y los dispositivos conectados añaden otra capa de complejidad. Los wearables que registran frecuencia cardíaca, sueño y actividad física recopilan datos que técnicamente no son datos clínicos, pero que en combinación con otras fuentes pueden revelar mucho sobre el estado de salud de una persona. Los dispositivos conectados que recopilan más de lo que parece son una vía de entrada que el sector sanitario aún no ha aprendido a gestionar del todo.
Y no hace falta salir de las apps más comunes. Lo que las plataformas infieren sobre tu estado emocional a partir de tus hábitos de consumo tiene un valor creciente para compañías de seguros y empleadores, aunque el camino entre la inferencia algorítmica y el dato clínico formal todavía no esté del todo trazado.
Los robos de datos médicos, además, están entre los ciberdelitos que más crecen y que menos se denuncian, en parte porque las víctimas no siempre saben que lo son hasta mucho después, y en parte porque las instituciones afectadas tienen incentivos para gestionar el problema discretamente antes de que llegue a los medios.
¿Llegará un punto en que nadie pueda garantizar la privacidad de tu historial?
La pregunta no es retórica. La presión para interoperar sistemas sanitarios entre países, el auge de la medicina personalizada basada en datos genómicos y el crecimiento de la IA aplicada al diagnóstico apuntan todos en la misma dirección: más datos, más conectados, más valiosos. Y, por tanto, más atractivos para quien quiera robarlos.
La tensión entre el valor clínico de compartir datos y el riesgo de exposición no tiene una solución técnica definitiva. El cifrado mejora, la autenticación avanza, pero las organizaciones sanitarias seguirán siendo objetivos mientras la información que manejan valga lo que vale. La pregunta real no es si habrá más brechas, sino quién cargará con las consecuencias cuando ocurran.
Preguntas frecuentes
¿Cuánto vale mi historial médico en el mercado negro?
Un historial médico completo puede venderse entre 250 y 1.000 dólares en mercados ilegales de la dark web, según investigadores de empresas como Trustwave y Experian. El precio varía según la completitud del registro: cuanto más datos incluye (seguro médico, número de seguridad social, medicamentos prescritos), más caro se cotiza frente a un simple número de tarjeta de crédito, que rara vez supera los 20 dólares.
¿Cómo sé si mis datos médicos han sido robados?
En la mayoría de los casos, la víctima no lo descubre de inmediato. Las señales suelen aparecer después: facturas de tratamientos que no recibiste, reclamaciones denegadas al seguro por coberturas ya “usadas”, o notificaciones de tu aseguradora sobre servicios que no solicitaste. Revisar periódicamente el historial de reclamaciones del seguro es una de las pocas formas de detección temprana disponibles para el paciente.
¿Es seguro usar apps de salud en el móvil?
Depende de la app y del país donde opera. Las apps de salud no siempre están sujetas a las mismas normativas que los proveedores sanitarios, especialmente cuando se trata de apps de bienestar o fitness que no procesan datos clínicos formales. Muchas comparten datos con terceros para publicidad o análisis. Revisar los permisos y la política de privacidad antes de instalarlas es el paso mínimo recomendable.
¿Qué es el robo de identidad médica y cómo me afecta?
El robo de identidad médica ocurre cuando alguien usa tus datos personales y de salud para recibir atención médica, comprar medicamentos o reclamar seguros en tu nombre. Las consecuencias van desde deudas con hospitales que no reconoces hasta errores en tu historial clínico que pueden afectar futuros tratamientos. Corregirlo puede llevar años y requiere trámites con aseguradoras, centros médicos y, en algunos casos, con las autoridades.
¿Las leyes actuales protegen suficientemente los datos médicos?
Las leyes existen, pero no eliminan el riesgo. El RGPD en Europa y la HIPAA en Estados Unidos establecen obligaciones de protección y notificación en caso de brecha, pero no impiden los ataques. Las sanciones han aumentado en los últimos años, aunque en muchos casos siguen siendo bajas respecto al daño causado. La regulación va por detrás de la tecnología y de las técnicas de ataque, y eso no ha cambiado.
¿Por qué los hospitales son un objetivo tan frecuente para los hackers?
Los hospitales combinan tres factores que los hacen especialmente vulnerables: manejan datos muy valiosos, operan con sistemas informáticos a menudo anticuados y tienen una presión operativa que hace casi imposible detener los servicios para hacer mantenimiento de seguridad. Cuando un hospital sufre un ataque de ransomware, pagar el rescate puede parecer menos costoso que interrumpir la atención a pacientes, lo que convierte al sector en un objetivo con alta probabilidad de pago.
