01El hecho

Se ha confirmado esta semana que el ataque de ransomware sufrido en mayo de 2026 por DentaQuest, una de las mayores administradoras de prestaciones dentales y oftalmológicas de los Estados Unidos, afectó a quince millones de personas. Con ello, el incidente se ubica como la mayor filtración de datos sanitarios registrada en 2026 y la cuarta mayor entre las casi 7.900 brechas vinculadas a la HIPAA notificadas desde 2009. La investigación estableció que los atacantes mantuvieron acceso a la red entre el 17 y el 20 de mayo, fecha esta última en que el hecho salió a la luz.

Notemos un dato que ordena el resto del análisis. El grupo de extorsión que reivindicó el ataque publicó 234 GB de información y declaró que el alcance era de 2,6 millones de personas; la cifra oficial resultó casi seis veces superior. No es un detalle menor. Debemos entender que la magnitud real de un incidente proviene de la investigación forense y no del comunicado del adversario, por cuanto el atacante informa lo que le conviene y cuando le conviene.

02Un patrón, no un mal día del sector salud

El vector no es una tecnología exótica, sino un modelo de negocio criminal consolidado: la doble extorsión. El atacante ya no se limita a cifrar los datos para cobrar por su recuperación; los sustrae primero y amenaza con divulgarlos. De manera que aun la entidad que dispone de respaldos íntegros, y que puede restaurar su operación, permanece expuesta a la publicación de información sensible de sus pacientes o consumidores.

Tomemos en cuenta que, en la misma semana, otras organizaciones sanitarias fueron señaladas por reclamos de exfiltración de grandes volúmenes de datos por parte de grupos distintos. La lectura sistémica, entonces, no es la de un mal día para un rubro, sino la de una industrialización de la extorsión de datos, que selecciona a sus víctimas por el valor y la sensibilidad de la información que custodian, y no por el sector al que pertenecen.

03La analogía del rehén

Pensemos en la diferencia entre un robo y un secuestro. Ante un robo, quien conserva una copia de lo sustraído recupera lo perdido y el daño queda acotado. El secuestro opera bajo otra lógica: lo que está en juego no es la posesión del bien, sino el poder de quien retiene algo cuya sola exposición ya causa perjuicio. La doble extorsión convierte los datos en rehén. En ese sentido, una estrategia de continuidad sostenida únicamente en la copia de seguridad configura una garantía aparente: resuelve el cifrado, no la divulgación.

04La realidad boliviana: transformación digital sin criterio de seguridad

Trasladando la mirada a nuestro medio, y sobre la base de nuestra experiencia en evaluaciones de auditoría y en ejercicios de ethical hacking en el sector salud boliviano, podemos afirmar que la situación se encuentra dividida. De un lado se ubican quienes impulsan la automatización del expediente clínico y de toda la operativa de los centros de salud. Del otro, quienes se resisten. Notemos, sin embargo, que esa resistencia, en muchos casos, no proviene de una evaluación informada de los riesgos, sino de la dificultad de salir de la zona de confort y del registro tradicional en papel.

Impulsan la automatización	Resisten la automatización
Motivación: eficiencia operativa y modernización del expediente clínico y de los procesos del centro de salud.	Motivación: apego a lo tradicional y permanencia en la zona de confort del papel.
Tratamiento del riesgo: el criterio de seguridad suele incorporarse al final del proceso, cuando se incorpora.	Tratamiento del riesgo: la resistencia rara vez se funda en un análisis de riesgos informado.
Punto ciego: se avanza en la transformación digital sin seguridad incorporada desde el diseño.	Punto ciego: el papel también entraña riesgos de pérdida, alteración y acceso indebido que no se dimensionan.

Más allá de esta división, la tendencia es inequívoca: cada vez más entidades del sector salud implementan una transformación digital, pero lo hacen sin incorporar el criterio de seguridad. Como suele ocurrir, la seguridad llega al final del proceso, cuando llega. Y precisamente por haber realizado auditorías y ethical hacking en el sector, hemos identificado errores bastante básicos, impropios de entidades sujetas a regulación.

En ese marco hacemos una lectura mesurada. La regulación que vuelve obligatoria la protección es positiva, por cuanto establece un mínimo exigible y nivela el terreno entre entidades. No obstante, ese mínimo no debe entenderse como la meta.

El cumplimiento normativo es el piso, no el techo: el punto de partida desde el cual toda entidad puede y debe mejorar su seguridad.

05Riesgo e impacto para una entidad regulada

Trasladado el caso a una entidad supervisada, por ejemplo bajo el ámbito de ASFI o APS, que custodia datos de su socio y/o consumidor financiero, el riesgo se distribuye en las cinco dimensiones del impacto (FINOL). En lo financiero, los costos de respuesta, notificación y eventual resarcimiento. En lo relativo a la imagen, la erosión de la confianza. En lo normativo, la exposición frente al régimen de protección de datos y a las obligaciones del RGSI (Reglamento para la Gestión de la Seguridad de la Información). En lo operativo, la interrupción de servicios críticos. En lo legal, las contingencias derivadas del tratamiento indebido de la información. Cabe resaltar que el dato personal sensible, sea de salud o financiero, reúne a la vez alta probabilidad de ser objetivo y alto impacto en su materialización.

06Recomendaciones

Aplicando el patrón de situación, riesgo, impacto y recomendación, resaltamos cuatro líneas de acción concretas:

07Cierre

Debemos entender que el caso DentaQuest no interpela solo al sector salud, sino a toda organización que custodia información sensible bajo supervisión regulatoria. La lección es sobria: la resiliencia moderna se mide por la capacidad de contener el impacto de un incidente que asumimos probable, y no por la ilusión de impedir todo ingreso. Esperamos que, en el corto plazo, las entidades del país, tanto del sector salud como del financiero, consoliden sus capacidades de continuidad, detección y respuesta, de manera que un incidente quede acotado y no derive en una crisis de confianza.