• Hace algunas semanas se conoció que cientos de miles de datos médicos de chilenos estaban expuestos en internet. Según un estudio de la empresa Xmartlab, al menos dos servidores que guardan imágenes médicas podían consultarse sin contraseña ni verificación de identidad. Contenían más de 8 millones de imágenes (radiografías, tomografías, resonancias, ecografías) potencialmente vinculadas a más de 250 mil pacientes. Chile quedó quinto en el ranking de un estudio que revisó más de 40 países.

Lo más llamativo es que, para acceder a esos datos, nadie necesitaba atacar nada: no hacía falta un hacker genial ni un virus sofisticado, porque la puerta simplemente estaba abierta. Según el estudio, uno de los casos fue reportado como incidente urgente a la Agencia Nacional de Ciberseguridad, por señales de que el sistema podría estar comprometido. Y eso cambia la conversación, porque solemos imaginar la ciberseguridad hospitalaria como una pelea contra delincuentes, cuando muchas veces el problema es una configuración que nadie fue a revisar.

Cuando se habla de estos casos, el foco suele ponerse en los datos. Es una preocupación legítima: la salud es información sensible, protegida por la Ley 20.584, y una imagen con nombre y apellido puede servir para estafas, suplantación de identidad o amenazas de divulgación. Pero existe un daño menos visible, y por eso menos nombrado: el que puede afectar la atención de los pacientes dentro del hospital.

Y ese riesgo tiene evidencia. Un estudio de la Universidad de Minnesota, publicado en febrero de 2026 en el American Economic Journal: Economic Policy, encontró que entre los pacientes ya internados cuando comienza un ransomware (el programa que secuestra los sistemas y exige un pago para liberarlos), la mortalidad dentro del hospital aumenta entre 34% y 38%. Es un dato extranjero y no significa que en Chile alguien haya muerto por un ciberataque. Pero muestra que la ciberseguridad de un hospital no es solo un tema tecnológico: también es un asunto de seguridad del paciente.

Chile ya conoce esta fragilidad. En diciembre de 2025, la Clínica Dávila sufrió el robo de unos 250 gigabytes de información sensible. El ataque de junio de 2025 al Instituto de Salud Pública retrasó la confirmación de exámenes de VIH y hepatitis en al menos siete hospitales, y en febrero de 2023 el Fondo Nacional de Salud vio cifrados sus computadores, con un origen que habría estado en una cuenta de acceso remoto de un proveedor. Súmese el hallazgo de Xmartlab, que además advierte que su revisión no es un catastro completo, por lo que podría haber otros sistemas expuestos, incluidos los administrados por proveedores externos. Más que tecnologías exóticas, estos casos invitan a revisar a tiempo lo básico: accesos, configuraciones y proveedores.

Aquí está el corazón del problema. Una institución puede tener políticas y manuales de seguridad al día y aun así mantener un servidor abierto. Seguridad declarada no es lo mismo que seguridad demostrada. Un documento describe intenciones; solo una prueba real revela la verdad. Esa distancia es el espacio por donde entra un atacante, o por donde simplemente pasa cualquiera que revise.

Cerrarla tiene un nombre poco conocido fuera del mundo técnico: hacking ético, o pruebas ofensivas. Consiste en que la propia institución, con equipo interno o contratado y siempre con autorización, revise sus sistemas como lo haría un delincuente, para encontrar las grietas primero. Un servidor abierto sin contraseña es el tipo de hallazgo que una revisión de este tipo puede detectar con rapidez. La analogía es el simulacro de incendio: ningún hospital serio espera el fuego para saber si la salida de emergencia estaba bloqueada.

Aunque la entrada en vigencia de la nueva Ley de Protección de Datos Personales (21.719), prevista originalmente para el 1 de diciembre de 2026, se posterga hasta 2027, la información de salud ya es dato sensible, y, como advirtió Xmartlab, las organizaciones que no la resguarden podrían enfrentar consecuencias regulatorias y económicas. Más que un castigo, es una oportunidad para ordenar la casa antes de que llegue la nueva exigencia.

Cuando algo falla, la reacción fácil es buscar al culpable individual. Las pruebas ofensivas corren el foco hacia la responsabilidad institucional: no importa tanto quién se equivocó, sino si la organización comprobó su propio diseño antes de confiarle vidas y datos. La pregunta que debería hacerse todo directorio ya no es “¿tenemos políticas?”, sino “¿qué encontraría alguien que revisara nuestros sistemas esta noche?”. En salud, esa pregunta dejó de ser técnica. Es clínica.