La brecha de datos de NSW Health quedó declarada incidente mayor este miércoles 4 de noviembre, y la cifra oficial ronda los 4 GB robados de un servidor del gobierno de Nueva Gales del Sur, en Australia. La Policía estatal informó que el blanco fue el sitio del Oral Health Fee For Service Scheme, el programa que entrega vales para que dentistas privados atiendan a pacientes del sistema público dental.
El aviso llegó a la brigada de delitos cibernéticos del Comando de Crimen Estatal el viernes 30 de octubre a la 1:00 p. m., y la investigación quedó en manos de un equipo con nombre propio: Strike Force Civic. Trabajan junto a NSW Health y a Cyber Security NSW, la agencia que coordina la respuesta del estado ante incidentes de este tipo. El robo de los datos ocurrió días antes, la semana pasada, y los atacantes no han hecho ninguna demanda desde entonces.
Lo robado no son historias clínicas. Richard Taggart, director ejecutivo de eHealth NSW, aclaró que ningún dato de pacientes entró en la brecha y que el material expuesto pertenece a un número reducido de proveedores externos, en su mayoría dentistas privados que cobran por el esquema de vales. Taggart admitió que entre lo sustraído puede haber documentos sensibles de esos profesionales.
4 GB en el parte policial y 70 GB en un foro
Matt Craft, superintendente detective y comandante de la brigada de delitos cibernéticos, describió el contenido como una cantidad importante de información de identificación personal de esos proveedores. La cifra policial se queda en cerca de 4 GB. Otra versión circula en un foro y multiplica el botín por diecisiete, con números mucho más redondos y cero pruebas públicas.
Un usuario con el alias bytetobreach afirma que extrajo unos 70 GB, cerca de 100.000 documentos sensibles con fechas desde 2020, tras entrar por un subdominio mal configurado de health.nsw.gov.au. El mismo mensaje dice que la intrusión se cortó cuando el servidor se cayó por accidente, que no pide rescate a nadie vinculado al gobierno australiano y que avisó al centro australiano de ciberseguridad, el ACSC, y a AUSCERT. Nada de eso está probado: la plataforma Hackmanac, que difundió la captura del mensaje, mantiene su verificación pendiente, y Craft confirmó que los detectives conocen esas publicaciones y que su veracidad forma parte de la investigación penal.
El método de entrada tampoco está confirmado por la Policía. El comunicado oficial no valida la historia del subdominio ni fija un volumen cerrado de archivos, y esa distancia entre el parte y el foro marca el caso por ahora: 4 GB con firma policial frente a 70 GB con firma de un alias. Para los dentistas nombrados en el material, la diferencia importa poco en la práctica: con datos de identificación personal fuera, el riesgo inmediato es la suplantación y el fraude dirigido, no el ruido en redes.
Otro episodio reciente tocó al sector salud: a finales de octubre, un ciberataque hospitalario en Nuevo México desvió ambulancias y obligó a mover pacientes entre centros. En Australia el daño quedó en datos administrativos, sin servicios clínicos tocados, pero el patrón se repite: sistemas de salud con mucho documento digital acumulado y bordes de red vigilados a medias.
El sitio cayó a mano en unas tres horas
La detección salió de un sistema automático que marcó tráfico inusual en un servidor remoto de NSW Health. Las alertas llegaron solas; bajar el sitio fue una decisión manual y tardó unas tres horas, contó Taggart a la prensa local. Cyber Security NSW precisó que el servidor afectado estaba aislado y que ninguna otra agencia del gobierno estatal aparece comprometida.
Marie Patane, directora de ciberseguridad del estado, explicó que la etiqueta de incidente mayor se aplicó al cumplirse los criterios del plan estatal de emergencia para incidentes cibernéticos. Ryan Park, ministro de Salud, contó que recibió el aviso en los últimos días y advirtió que la investigación sigue abierta, con espacio para que las cifras cambien sobre la marcha. El antecedente estatal pesa en esa cautela: en marzo de 2025, una cuenta automatizada descargó más de 9.000 archivos del sistema judicial JusticeLink, también en Nueva Gales del Sur.
Craft descartó un componente de inteligencia artificial en el caso: habló de una persona que cometió una conducta ilegal, no de un sistema autónomo. El acceso indebido a datos es delito en Nueva Gales del Sur y castiga con prisión. La pista que siguen los detectives apunta fuera de Australia: el comandante explicó que los actores de amenazas suelen mover los datos robados al extranjero, y que, si aparece un sospechoso en otro país, la brigada usará sus relaciones internacionales, incluido el FBI.
eHealth NSW prepara el aviso individual a los dentistas que puedan estar en el material robado, paso que definirá cuántos proveedores quedaron expuestos en total. La Policía mantiene Strike Force Civic como único canal del caso y no ha puesto fecha al próximo parte: la brecha entre los 4 GB oficiales y los 70 GB del foro sigue abierta, con la verificación de Hackmanac y la revisión policial como las dos piezas que faltan.
Fuente: AAP
