Hacker “DeadM4n” afirma haber vulnerado los sistemas de EsSalud y expone datos de asegurados

Una presunta filtración de información de EsSalud fue reportada el 22 de octubre en un foro de ciberdelincuencia, donde un usuario identificado como DeadM4n publicó una entrada titulada “ESSALUD PERU” y aseguró haber comprometido a la institución. La publicación incluye una muestra de los supuestos datos obtenidos.

Según la descripción del incidente compartida en X, la información presuntamente comprometida incluiría datos personales de asegurados y pacientes, como nombres, sexo, direcciones, números telefónicos y documentos de identidad. También se mencionan códigos de fichas, solicitudes de traslado, referencias y citas entre establecimientos hospitalarios.

Hasta el momento, el reporte difundido no precisa cuántos registros habrían sido afectados ni permite establecer si se trata de una intrusión reciente, de información extraída de los sistemas de EsSalud o de datos obtenidos por otra vía. Tampoco constituye, por sí solo, una confirmación oficial de que la institución haya sufrido un ataque informático.

EsSalud ya había sido sancionado por deficiencias en la protección de datos

En julio de 2022, la Autoridad Nacional de Protección de Datos Personales del Ministerio de Justicia sancionó a EsSalud con una multa de 26,91 UIT, equivalente a S/123.786, por infracciones vinculadas con el tratamiento y la protección de datos personales. Entre las deficiencias identificadas figuraban problemas relacionados con la documentación de accesos y privilegios, así como con la protección de documentos físicos de pacientes y asegurados.

En 2023, EsSalud también aprobó una Política de Ciberseguridad destinada a proteger la confidencialidad, integridad y disponibilidad de la información institucional.

Otras empresas e instituciones también habrían sido perjudicadas

La alerta sobre EsSalud se suma a otros reportes de posibles filtraciones de información difundidos en foros de ciberdelincuencia durante octubre. Entre las organizaciones mencionadas figuran Hosting Perú, Claro Perú y el Registro Nacional de Identificación y Estado Civil (Reniec), aunque las denuncias compartidas no cuentan, en todos los casos, con una verificación independiente.

El 19 de octubre, un usuario identificado como Lvn4t1k0, vinculado en el reporte al grupo GhostLeakers Team, afirmó haber vulnerado a Hosting Perú y publicó un supuesto volcado de su base de datos. Según la denuncia, el material contendría más de 650.000 registros de suscriptores y correos electrónicos, incluidos nombres completos, números de DNI y contraseñas o tokens almacenados mediante MD5. El atacante también aseguró que la información incluiría datos de servidores y que la base completa estaría disponible en Telegram. Estas afirmaciones no han sido verificadas de manera independiente.

Dos días después, el 21 de octubre, otro reporte atribuyó al usuario z4p3r0c0 un presunto ataque contra Claro Perú. Según la publicación, el atacante habría aprovechado una API expuesta para extraer datos de usuarios, facturas electrónicas y credenciales de acceso. El volumen de información presuntamente comprometida no fue precisado y la denuncia tampoco acreditó que el supuesto acceso fuera total, como afirmó el autor.

Un tercer reporte, fechado el 18 de octubre, mencionó al Reniec. El usuario identificado como LMAOSUPER habría compartido en un foro supuestos datos de la entidad peruana junto con una base de ciudadanos de Uruguay y otra relacionada con colegios de Chile. La publicación no detalló qué campos de información corresponderían al registro peruano ni cuántas personas podrían estar afectadas.

La coincidencia temporal de estos reportes plantea interrogantes sobre la seguridad de los datos personales en servicios privados y entidades públicas. Sin embargo, la aparición de varias denuncias en foros clandestinos no demuestra que todas las organizaciones hayan sufrido intrusiones efectivas ni que los datos publicados sean auténticos. Para determinar el alcance de cada caso es necesario contrastar las muestras con fuentes autorizadas y conocer la respuesta de las organizaciones involucradas.