La Oficina de Derechos Civiles (OCR) del Departamento de Salud de Estados Unidos (HHS) llegó a un acuerdo con Lehigh Valley Health Network (LVHN) por la brecha de ransomware de 2023 ejecutada por el grupo AlphV/BlackCat, que incluyó la publicación de fotografías íntimas de pacientes en un sitio de filtraciones. El caso ya había derivado en un acuerdo civil de 65 millones de dólares con las víctimas en 2024.
El incidente se originó en 2023 cuando el grupo de ransomware AlphV —también conocido como BlackCat— comprometió los sistemas de LVHN, una red de salud con sede en Pensilvania. Lo que distinguió este ataque fue la decisión de los actores de amenaza de publicar imágenes médicas de desnudez de pacientes oncológicos en su sitio de filtración, escalando el daño más allá del típico cifrado de datos y extorsión económica. El caso generó amplia cobertura pública por la gravedad de la violación a la dignidad de las víctimas. Según se informó, HHS OCR inició su propia investigación de cumplimiento bajo la norma HIPAA (Health Insurance Portability and Accountability Act), paralela al proceso civil que las pacientes afectadas llevaron adelante por su cuenta.
Dos resoluciones: 65 millones en litigio civil y el acuerdo federal con HHS OCR
En 2024, LVHN acordó pagar 65 millones de dólares para resolver la demanda colectiva interpuesta por las pacientes cuyas imágenes fueron publicadas sin consentimiento. Ahora, el acuerdo con HHS OCR agrega una dimensión regulatoria federal al caso: la entidad sanitaria deberá cumplir con un plan corrective action además del pago acordado con la autoridad, según se informó. Los montos específicos del acuerdo con HHS no estaban completamente detallados en la información disponible al cierre de esta nota.
Datos confirmados del incidente
- Actor de amenaza: AlphV/BlackCat
- Año del ataque: 2023
- Acuerdo civil con pacientes: USD 65 millones (2024)
- Regulador federal actuante: HHS Office for Civil Rights (OCR)
- Marco normativo aplicado: HIPAA
- Acuerdo regulatorio: confirmado por HHS OCR, monto bajo revisión
Qué se sabe y qué falta confirmar
Está confirmado que HHS OCR cerró su investigación mediante un acuerdo (settlement) con LVHN, que el incidente involucró exposición pública de imágenes de pacientes, y que el proceso civil ya concluyó con pago de 65 millones de dólares. Lo que aún no está completamente detallado de forma pública es el monto exacto que LVHN pagará a HHS en este acuerdo regulatorio, así como el alcance preciso del plan de acción correctiva exigido. Tampoco se ha confirmado si HHS aplicará resoluciones precedentes de este caso como referencia para futuras investigaciones de ransomware en el sector salud.
Para los equipos de privacidad y cumplimiento en América Latina, el caso es relevante porque ilustra una tendencia global: los reguladores sanitarios no tratan los ataques de ransomware como eventos puramente de ciberseguridad, sino como posibles incumplimientos de obligaciones de protección de datos personales sensibles. En Brasil, los operadores del sector salud están sujetos tanto a la LGPD —que clasifica datos de salud como datos sensibles bajo el artículo 11— como a las resoluciones de la ANPD sobre notificación de incidentes. En Argentina, la Ley 25.326 impone obligaciones equivalentes sobre datos de salud, y la AAIP ha intensificado su escrutinio sobre entidades del sector en los últimos ciclos de fiscalización. México, a través del INAI, también ha emitido criterios específicos sobre el tratamiento de datos sensibles en el ámbito médico. Un ataque con exfiltración y publicación de imágenes médicas, como el de LVHN, activaría simultáneamente las obligaciones de notificación a la autoridad y a los titulares en los tres sistemas jurídicos.
El próximo hito a seguir es la publicación del plan de acción correctiva acordado entre LVHN y HHS OCR, que establecerá los estándares de remediación que el regulador federal exige tras un incidente de esta magnitud.
