4Justicia y Sanidad: por qué los expedientes judiciales y los datos de salud son objetivos de alto valor y qué información se ha vendido
El Punto Neutro Judicial concentra el acceso de los juzgados a Catastro, la Agencia Tributaria, la DGT, el INE, la Seguridad Social, el SEPE y la Policía Nacional: una sola credencial de funcionario abre siete bases de datos del Estado. En octubre de 2022, José Luis Huertas, Alcasec, usó un certificado digital robado de la DGT para moverse por la red SARA; se hizo con las claves de un juzgado de Bilbao y clonó la web del Punto Neutro para que dos funcionarios escribieran las suyas. Con ellas lanzó 438.099 consultas a las «cuentas bancarias ampliadas» de Hacienda y volcó 574.908 registros en USMS, su propio portal de venta. Esa plataforma llegó a 1.746 usuarios, 95.445 compras, 30 millones de registros y 1,86 millones de euros de ingresos. El mayor comprador pagó 109.876 euros; el hacker devolvió 863.000 y en mayo de 2026 aceptó dos años y siete meses de cárcel.
La sanidad es el otro filón porque el dato clínico no caduca. Un historial completo se vende en la dark web entre 30 y 900 euros según el rango que maneja ENISA, con estimaciones sectoriales que llegan a los 1.000 dólares; una tarjeta de crédito, entre 5 y 10. El expediente incluye DNI, aseguradora, diagnósticos, medicación, salud mental o tratamientos de fertilidad: material para extorsionar a un paciente concreto, estafar a una aseguradora u obtener recetas fraudulentas. El caso que marcó el terreno fue el Hospital Clínic de Barcelona: RansomHouse entró en marzo de 2023, sustrajo unos 4,5 terabytes, pidió 4,5 millones de dólares y, al no cobrar, publicó 3,6 gigabytes con listas de pacientes, donantes de tejidos y proveedores, tras dejar de hacer 300 operaciones y 11.000 consultas. A eso se suman las copias de DNI de 198.000 sanitarios robadas en el ataque a SATSE y FUDEN.
