Una nueva publicación detectada en foros clandestinos ha generado preocupación dentro de la comunidad de ciberseguridad de Guatemala, luego de que un actor de amenazas identificado bajo el alias “M✘T3Я.” afirmara haber obtenido y puesto a la venta una importante cantidad de información perteneciente a sistemas del sector salud del país. Hasta el momento, las afirmaciones del atacante permanecen sin confirmar y no existe evidencia pública que permita validar la autenticidad de los datos presuntamente comprometidos.

De acuerdo con la publicación, la información incluiría registros relacionados con vigilancia epidemiológica, expedientes de pacientes con enfermedades crónicas, registros de nacimientos y defunciones, así como información de carácter personal y médico altamente sensible. De ser legítima, la filtración representaría uno de los incidentes de exposición de datos sanitarios más relevantes registrados recientemente en Guatemala debido al volumen y sensibilidad de la información involucrada.

¿Quién es “M✘T3Я.”?

El alias M✘T3Я. ha sido observado recientemente en comunidades de ciberdelincuencia y foros de compraventa de datos filtrados, donde mantiene actividad relacionada con la publicación y comercialización de bases de datos presuntamente obtenidas de organizaciones públicas y privadas. Aunque actualmente no se le atribuye pertenencia a un grupo de ransomware o una operación de amenaza persistente conocida (APT), su comportamiento es consistente con actores de tipo Initial Access Broker (IAB) o Data Broker, enfocados en la monetización de información comprometida mediante su venta en mercados clandestinos.

Los foros clandestinos continúan siendo un componente clave del ecosistema criminal, permitiendo a actores emergentes comercializar bases de datos, credenciales y accesos comprometidos de forma relativamente anónima, aprovechando sistemas de reputación y comunidades especializadas.

Datos presuntamente comprometidos

La publicación atribuida al actor describe cuatro conjuntos principales de información:

Vigilancia epidemiológica

• Reportes de brotes y eventos epidemiológicos.
• Información demográfica y geográfica de pacientes.
• Estado clínico y seguimiento de casos.

Registros de pacientes con enfermedades crónicas

• Nombres completos.
• Fechas de nacimiento.
• Códigos únicos de pacientes.
• Historial de pruebas y diagnósticos.
• Centros médicos responsables del tratamiento.

Registros de defunciones

• Información de identidad de personas fallecidas.
• Diagnósticos y causas de muerte.
• Direcciones y datos del profesional médico certificador.

Registros de nacimientos

• Datos de recién nacidos.
• Información de padres y tutores.
• Historial familiar y detalles del parto.
• Datos del personal sanitario interviniente.

Riesgos potenciales

En caso de confirmarse la autenticidad de la información, el incidente podría derivar en:

• Exposición masiva de Información de Identificación Personal (PII).
• Divulgación de Información Médica Protegida (PHI).
• Campañas de fraude y suplantación de identidad.
• Extorsión dirigida a pacientes o personal sanitario.
• Incremento del riesgo de ataques de ingeniería social y phishing.
• Afectaciones reputacionales y regulatorias para las instituciones involucradas.

La exposición de información médica es especialmente crítica debido a que los registros sanitarios contienen datos permanentes que no pueden ser modificados con facilidad, a diferencia de una contraseña o una tarjeta bancaria.

Estado de la investigación

Hasta la fecha de publicación de esta alerta:

• No se han identificado muestras públicas de los datos presuntamente filtrados.
• No existe confirmación oficial de una intrusión a gran escala.
• No se han observado indicadores técnicos que permitan atribuir el incidente a un grupo de ransomware conocido.
• La publicación debe considerarse un evento de riesgo en investigación y no un compromiso confirmado.

Recomendaciones para el sector salud

1. Ejecutar una revisión inmediata de registros de auditoría

Analizar accesos inusuales, consultas masivas a bases de datos y transferencias de grandes volúmenes de información.

2. Reforzar la autenticación de cuentas privilegiadas

Implementar MFA en sistemas críticos y revocar credenciales administrativas que no sean estrictamente necesarias.

3. Monitorear indicadores de exposición en fuentes abiertas y clandestinas

Mantener vigilancia continua sobre posibles publicaciones adicionales, muestras de datos o intentos de comercialización.

4. Implementar controles de prevención de exfiltración

Fortalecer mecanismos de Data Loss Prevention (DLP), segmentación de redes y monitoreo de transferencias de información sensible.

5. Activar procedimientos de respuesta a incidentes

Preparar procesos de contención, preservación de evidencia y notificación conforme a las políticas institucionales y regulatorias aplicables.

Conclusión

La supuesta venta de información perteneciente al sector salud guatemalteco evidencia el creciente interés de los actores de amenazas por los datos médicos y personales, considerados entre los activos más valiosos dentro de la economía del cibercrimen. Aunque el incidente permanece sin confirmar, la naturaleza de la información mencionada y el contexto actual de amenazas contra organizaciones de salud justifican un seguimiento cercano y la adopción de medidas preventivas inmediatas hasta que las autoridades competentes determinen el alcance real del evento.