Roban más de 600.000 datos de cientos de pacientes de clínicas psicológicas de todo el estado: "Ahora saben si tienes problemas con la pareja, una dependencia o angustia por el trabajo"

• El software para psicólogos Eholo sufre una grave filtración de datos

Eholo Health, empresa española que ha desarrollado una solución de software diseñada específicamente para psicólogos y centros de psicología y que facilita la gestión de consultas clínicas, habría sufrido una filtración de datos. 

Un actor de amenazas apodado XP95 asegura en la dark web tener en su poder datos sensibles pertenecientes a cientos de miles de profesionales del ramo, al haber extraído "con éxito" su base de datos.

Según el post, publicado en el foro de hackers Breach Forums, la violación incluye 1.146.700 notas médicas y 601.308 datos de identificación personal (PII) de usuarios.

Para mostrar que no va de faro,l el pirata informático ha compartido dos archivos en formato zip con muestras. 

El ciberdelincuente ha dado a la compañía hasta el próximo 15 de marzo, bajo la amenaza de vender todos estos datos si la empresa no acepta a pagar el rescate exigido. El actor de amenazas ha pedido a la firma de software para terapeutas 300.000 dólares.

Según su perfil público, se trata de una cuenta de creación muy reciente y con escasa actividad, lo que dificulta atribuirle por el momento una trayectoria consolidada o vincularla a campañas específicas. 

No existen referencias en informes de inteligencia de amenazas ni en investigaciones abiertas que señalen a XP95 como miembro destacado de un grupo organizado o como operador detrás de incidentes relevantes.

¿Historias clínicas a buen recaudo?

Eholo se fundó durante la pandemia de Covid-19 por Sonia Torras, psicóloga general sanitaria, y Eduard Martí, ingeniero y programador. Hasta la fecha la startup ha obtenido una inversión de 450.000 euros. En su última ronda de financiación, cerrada en julio del año pasado obtuvo 250.000 euros por parte de Eoniq.fund para impulsar su expansión internacional, con el foco puesto en EE.UU. 

La plataforma agiliza la gestión de pacientes, la facturación, las citas y las historias clínicas. Además, incluye recordatorios automáticos, gestión de consentimientos y videollamadas integradas. Más de 10.000 profesionales ya la usan para optimizar su consulta y mejorar la atención al paciente.

En su página de ayuda la empresa asegura que "las historias clínicas se almacenan de forma segura en los servidores de eholo" y que cuentan con "medidas de seguridad avanzadas para proteger la privacidad y confidencialidad de tus pacientes". 

En la misma también indican que cumplen con "las leyes y normativas vigentes en materia de protección de datos para garantizar la seguridad y confidencialidad de las historias clínicas".

Si se confirma la filtración, estaríamos ante un incidente de extrema gravedad desde el punto de vista del Reglamento General de Protección de Datos (RGPD), ya que afectaría a datos de salud, considerados categoría especial y sujetos a máxima protección. 

Eholo tendría la obligación de notificar la brecha en un plazo máximo de 72 horas a la Agencia Española de Protección de Datos (AEPD) -es una medida que, como nos han informado desde la propia startup ya han puesto en marcha- y, si el riesgo es alto —como parece en este caso por el volumen y la sensibilidad de la información—, también a los afectados. La autoridad podría abrir una investigación para analizar si las medidas de seguridad implantadas eran adecuadas.

Las sanciones podrían alcanzar hasta 10 millones de euros o el 2% de la facturación anual global o bien hasta 20 millones de euros o el 4% de los ingresos anuales, aunque su cuantía dependería de factores como la diligencia de la empresa, su colaboración y el alcance real del incidente. 

Además del frente regulatorio, la compañía se enfrentaría a un fuerte impacto reputacional y a posibles reclamaciones civiles por daños, especialmente tratándose de historias clínicas, donde la confianza y la confidencialidad son esenciales.

Desde Escudo Digital nos hemos puesto en contacto con la compañía, que ha comentado que esta filtración solo ha afectado a un 5% de todos sus usuarios y nos han facilitado las medidas que han tomado para hacer frente a dicha brecha:

• Aislamiento inmediato del sistema afectado.
• Denuncia formal ante las autoridades competentes.
• Investigación y análisis técnico con especialistas externos en ciberseguridad.
• Revisión completa de la infraestructura y refuerzo adicional de medidas de protección.
• Notificación a la Agencia Española de Protección de Datos y autoridades competentes.
• Inicio de proceso legal de la mano de nuestros abogados.