N.º 9 | Septiembre de 2026, segunda semana
8 de septiembre de 2026Desde expedientes psiquiátricos descuidados en Irlanda hasta un hacker adolescente que robó 700.000 expedientes de pacientes franceses, las autoridades reguladoras están actuando contra la mala higiene de datos. Honeywell y Telstra se enfrentan a nuevas sanciones por incumplir los mandatos de ciberseguridad y por no impedir las estafas de suplantación de SIM.
Hospital francés multado con 500.000 € tras filtración que afectó a más de 700.000 personas
La autoridad francesa de protección de datos, la CNIL, ha multado al Hôpital privé de la Loire (HPL) con €500.000 por no proteger adecuadamente los datos personales de los pacientes y sus familiares.
La multa se impone tras una filtración de datos en el verano de 2025 que expuso información sensible perteneciente a 524.867 pacientes y 202.246 terceros de confianza. Según informes, un atacante accedió mediante la cuenta de un médico y logró entrar en el sistema de registro de pacientes de mayor alcance del hospital.
La CNIL detectó varios problemas de seguridad, incluida la falta de autenticación multifactor para algunos usuarios externos, controles de acceso débiles y monitoreo insuficiente. La seguridad débil permitió al atacante acceder y extraer una gran cantidad de datos durante varios días sin ser detectado.
La autoridad también constató que el HPL no notificó directamente a los 202 246 terceros de confianza afectados, aunque el hospital sí informó a los pacientes. Un hacker adolescente que utilizaba el alias «Marak» se atribuyó la autoría del ataque y, según se informa, intentó vender los datos robados por entre 2 000 y 5 000 euros.
HPL reforzó sus medidas de seguridad durante la investigación de la CNIL. Las infracciones implicaban los artículos 32 y 34 del Reglamento General de Protección de Datos (GDPR) de la UE.
Honeywell Aerospace deberá pagar $2,04 M por incumplir los requisitos de cybersecurity
Honeywell Aerospace Inc. ha acordado pagar 2,04 millones de dólares (aproximadamente 1,76 millones de euros) para resolver las acusaciones de que no cumplió con los requisitos de ciberseguridad en un contrato con el Departamento de Defensa de EE. UU., según anunció el Departamento de Justicia de EE. UU.
Honeywell Aerospace, con sede en Phoenix, Arizona, ofrece productos y servicios aeroespaciales a clientes gubernamentales y comerciales.
Las acusaciones involucran a una unidad de negocio de Honeywell que, entre abril de 2020 y diciembre de 2023, incumplió las normas de ciberseguridad establecidas en NIST SP 800-171 del Instituto Nacional de Estándares y Tecnología (NIST). Los requisitos se aplicaban a una de las redes de Honeywell.
El acuerdo resuelve las demandas presentadas bajo la False Claims Act, que permite a los informantes demandar en nombre del gobierno. Un exempleado de Honeywell que presentó la demanda recibirá $375,823 (€323,700) del acuerdo.
La mayor empresa de telecomunicaciones de Australia multada con 277.000 dólares australianos por no proteger a sus clientes contra los fraudes
Telstra, el mayor proveedor de telecomunicaciones de Australia, ha sido multado con 277 000 dólares australianos (~171 700 €) por no proteger adecuadamente a sus clientes frente a las estafas.
La Autoridad Australiana de Comunicaciones y Medios (ACMA) determinó que Telstra no había completado las verificaciones obligatorias de identidad en 15 cambios de tarjetas SIM no autorizados. Un cambio de SIM permite a un cliente reemplazar una tarjeta SIM o eSIM existente, pero los estafadores pueden utilizar este proceso para acceder al número de teléfono y a las cuentas de la víctima.
La investigación también reveló 13 casos en los que el personal de Telstra no aplicó protecciones adicionales contra el fraude a clientes que habían expresado su preocupación o que fueron identificados como en riesgo.
Además de la multa, Telstra ha aceptado compromisos exigibles judicialmente para reforzar sus procedimientos de prevención del fraude y mejorar la formación de su personal.
La investigación siguió a una anterior acción de aplicación de la ACMA contra Telstra por infracciones similares. Se trata de la séptima acción en el marco de la campaña del regulador contra el fraude con números de móvil, con las empresas de telecomunicaciones pagando más de 5 millones de dólares en multas hasta ahora.
HSE multada con 645.000 € tras hallar expedientes médicos en malas condiciones
El Health Service Executive (HSE), que presta todos los services de salud pública de Irlanda en hospitales y comunidades de todo el país, ha sido multado con 645.000 € tras descubrirse que los historiales médicos se encontraban en mal estado en dos antiguos hospitales psiquiátricos.
La Comisión de Protección de Datos de Irlanda (DPC) inició una investigación después de que personas accedieran de forma no autorizada a registros en papel en el Hospital de San Lomán de Mullingar y en el Hospital de San Conal de Letterkenny.
Durante las inspecciones, la DPC encontró registros dañados por el moho y el agua, cubiertos de escombros y excrementos de animales, o gravemente afectados por condiciones de almacenamiento inadecuadas. Algunos registros se conservaban en baños en desuso, en habitaciones sin calefacción ni iluminación, e incluso en un contenedor.
La DPC llevó a cabo 12 inspecciones en todo el país y constató que los problemas no eran incidentes aislados. Afirmó que la HSE no había protegido adecuadamente los datos personales almacenados en registros en papel.
La HSE ha aceptado las conclusiones y ha afirmado que se está trabajando para solucionar los problemas. La DPC también ha ordenado a la HSE que lleve a cabo una auditoría completa de sus instalaciones de almacenamiento.
Un fabricante rumano de cosméticos multado con 5.000 € tras un ciberataque
El importante fabricante rumano de cosméticos Gerocossen SRL ha sido multado con 5.000 € después de que un ciberataque expusiera los datos personales de los clientes. La Autoridad Nacional de Supervisión del Tratamiento de Datos Personales de Rumanía (ANSPDCP) determinó que Gerocossen había infringido el Artículo 32(1)(b) y el Artículo 32(2) del General Data Protection Regulation (GDPR) de la UE.
La empresa fue multada en 26.236,50 lei, equivalente a 5.000 €. La investigación se inició después de que Gerocossen notificó a la autoridad una brecha de datos personales, tal y como exige el artículo 33 del RGPD.
Según la ANSPDCP, el ciberataque afectó la infraestructura de TI de la empresa y provocó el acceso no autorizado o la divulgación de datos personales, incluidos datos de identificación y de contacto.
La autoridad determinó que Gerocossen no había establecido garantías de seguridad adecuadas, incluidas medidas para proteger la confidencialidad y la integridad de sus sistemas de tratamiento de datos, en infracción del artículo 32(1)(b) y del artículo 32(2) del RGPD.
Además de la multa, la ANSPDCP ordenó a la empresa, en virtud del artículo 58(2)(d) del RGPD, implementar sistemas para monitorear y registrar el acceso a su infraestructura de TI. Los registros de acceso deben conservarse durante al menos 30 días y realizarse copias de seguridad.
En un caso separado, el regulador rumano ha impuesto una multa del RGPD de 15 728 lei (aprox. 3 000 €) al concesionario de automóviles Poliserv JG (PJG) SRL tras un ataque de phishing que comprometió las credenciales de una cuenta de administrador. Los atacantes utilizaron las credenciales robadas para acceder a los datos personales de los clientes, incluidos al menos sus nombres y apellidos.
Próximos pasos:
- Solicite una demostración gratuita o información sobre precios
- Regístrese en nuestros webinars y formaciones de productos
- Lea nuestro blog semanal de Investigaciones sobre ciberdelincuencia
- Síguenos en LinkedIn, X, Telegram y WhatsApp
- Suscríbase a nuestro boletín.
- Únase a nuestro Partner Program
Continuous Threat Exposure Management (CTEM) con ImmuniWeb
Cómo elegir su proveedor de Dark Web y CTEM en 2027: mejores prácticas