La investigación identificó que más de 8 millones de imágenes médicas en Chile podían ser consultadas desde internet abierta sin usuario ni contraseña. Chile se ubicó quinto por volumen de imágenes entre los 41 países donde el estudio detectó los datos clínicos expuestos.
Dos sistemas utilizados para almacenar imágenes médicas en Chile podían ser consultados desde internet sin necesidad de autenticación, de acuerdo al estudio “Healthcare Cybersecurity Landscape: A review of medical imaging exposure” realizado por la empresa Xmartlab, que analizó la exposición de este tipo de sistemas y detectó casos en más de 40 países.
Los sistemas identificados correspondían a archivos PACS/DICOM, tecnología utilizada para almacenar y gestionar estudios como radiografías, tomografías, resonancias y ecografías, funcionando como grandes repositorios digitales donde se guardan las imágenes médicas de las y los pacientes, y la información asociada a cada examen.
La investigación determinó que esta configuración permitía listar pacientes y estudios, visualizar y descargar imágenes médicas, además de consultar datos personales incorporados en los archivos, además de los datos del médico e institución.
Desde la empresa precisaron que durante la investigación, no se descargaron ni se visualizaron estos registros clínicos, y la revisión se limitó a consultar metadatos, es decir, información general entregada por los propios sistemas sobre la cantidad de pacientes, estudios e imágenes almacenadas. Es decir, se verificó que los datos fueran accesibles, sin embargo para respetar la privacidad de los pacientes, no se descargó ningún dato sensible.
La exposición de este tipo de información puede tener consecuencias que van más allá del acceso a una imagen médica. En Chile, los antecedentes relacionados con la salud de las personas tienen carácter de datos sensibles y su protección está contemplada en distintas normas, entre ellas la Ley 20.584 sobre derechos y deberes de los pacientes. A ello se suman la Ley Marco de Ciberseguridad y la nueva Ley de Protección de Datos Personales, que refuerzan las obligaciones en materia de seguridad y resguardo de la información. El acceso indebido a estos antecedentes podría afectar la privacidad de las y los pacientes y facilitar intentos de fraude, extorsión o suplantación de identidad.
Para Gonzalo Paredes, socio fundador de Xmartlab, “esto no es solo un problema tecnológico. La Ley Marco de Ciberseguridad establece obligaciones concretas para las instituciones de salud en materia de prevención y gestión de incidentes, y contempla sanciones que pueden llegar hasta las 40.000 UTM para operadores de importancia vital. A esto se suma la nueva Ley de Protección de Datos Personales (que entraría en vigencia el 1 de diciembre de 2026), que refuerza especialmente el resguardo de los datos de salud y establece sanciones que, en determinados casos de reincidencia, pueden alcanzar hasta el 4% de los ingresos anuales de una empresa. Por eso, mantener este tipo de información expuesta puede tener consecuencias regulatorias y económicas importantes para las organizaciones responsables”.
Chile en el top 5 de los países más expuestos
A nivel global, el estudio identificó 222 servidores abiertos y sin autenticación. De ellos, 109 almacenaban información clínica de cerca de 1,36 millones de pacientes, con 2,28 millones de estudios, y más de 120 millones de imágenes médicas en 41 países.
Chile ocupó el quinto lugar por cantidad de imágenes expuestas detectadas, con 8.105.798 imágenes y 5,77 terabytes de información, siendo superado por India, Kenia, China y Argentina en volúmenes detectados. De acuerdo a lo establecido por el protocolo de la ley Marco de Ciberseguridad, los casos detectados fueron reportados a la Agencia Nacional de Ciberseguridad (ANCI), donde uno de ellos fue escalado como incidente urgente al detectar señales de que el sistema estaba comprometido.
“Las organizaciones de salud deben revisar si sus sistemas de almacenamiento de imágenes pueden ser alcanzados directamente desde internet y asegurarse de que cuenten con autenticación y accesos restringidos”, recomendó Samuel Paschuan, Cybersecurity Lead de Xmartlab. “Esta revisión también debe incluir infraestructura administrada por terceros, porque proteger los datos de las y los pacientes requiere también de saber dónde están almacenados y quiénes pueden acceder a ellos”.
Sobre el estudio “Healthcare Cybersecurity Landscape: A review of medical imaging exposure”
El problema detectado aún no ha sido resuelto. Por esta razón, Xmartlab decidió no entregar información que permita identificar o localizar los sistemas involucrados, ya que podría facilitar el acceso de terceros a los datos expuestos.
Para realizar esta investigación, Xmartlab utilizó motores públicos de escaneo que permiten identificar sistemas visibles desde internet y posteriormente realizó consultas limitadas a metadatos para confirmar la exposición. Una vez que la empresa detectó los hallazgos, estos fueron comunicados a los organismos nacionales correspondientes, o a los proveedores responsables antes de publicar estos resultados.
Desde la empresa explicaron que no se puede afirmar que en Chile solo existan estos dos sistemas de este tipo expuestos, y pueden quedar fuera servidores que no sean identificados por los motores utilizados, o que sean accesibles a través de otros mecanismos, por lo que no constituye a un catastro de toda la infraestructura médica expuesta en el país.
