García Espada dice que la información robada del SES fue recuperada

05 noviembre 2026 | Publicado : 11:59 (05/11/2026) | Actualizado: 18:51 (05/11/2026)

Ep.

La consejera de Salud y Atención a la Dependencia de la Junta de Extremadura, Sara García Espada, ha resaltado que la actuación policial "ha permitido recuperar la información obtenida ilícitamente" de usuarios del Servicio Extremeño de Salud (SES), así como "evitar su difusión o comercialización en foros delictivos".

Unos datos que fueron robados en un ciberataque que registró el SES el pasado 5 de octubre, en el que se produjo una "extracción ilícita" de una copia de determinada información de los más de 18.000 usuarios afectados, que tras ser detenido el presunto autor, "fue localizada e intervenida y permanece bajo custodia judicial con garantías de cadena de custodia digital".

García Espada se ha pronunciado de esta forma este jueves en el pleno de la Asamblea de Extremadura, en respuesta a una pregunta del Grupo Parlamentario Socialista sobre las medidas que ha tomado la Junta de Extremadura para "recuperar, proteger y evitar un uso fraudulento de los datos sanitarios robados en el ataque informático al SES.

En su pregunta, la diputada socialista Isabel Gil Rosiña, ha preguntado "qué grado de vulnerabilidad tienen en estos momentos los sistemas que tienen datos de los ciudadanos de la Junta de Extremadura", y si la administración autonómica está preparada contra los ciberataques.

Según ha señalado la diputada socialista, la Junta "tiene una enorme responsabilidad", ya que "prácticamente la totalidad de la población son usuarios del Servicio Extremeño de Salud", tras lo que ha resaltado que "todos los datos son importantes", y la presidenta de la Junta, también afectada, es "un número más" de los usuarios del SES a los que se le han robado los datos.

Gil Rosiña ha señalado que "los datos de salud son considerados legalmente de una especial importancia", por lo que "el nivel de protección y confidencialidad tiene que ser mayor por parte de la Administración autonómica" en esta materia.

Así, ha señalado que la legislación sanitaria "en estos momentos no protege a los ciudadanos de los ciberataques", ya que "esta es una nueva realidad" que, aunque "no tiene que ver con el color de quién gobierna, sí la tiene que resolver quién gobierna", ha apuntado Gil Rosiña.

Por este motivo, la diputada socialista ha reclamado a la consejera de Salud "medidas extraordinarias", que "no pasan solo por reforzar los protocolos", sino que a su juicio "hay que reforzar las estructuras para trabajar con los sistemas de seguridad que en estos momentos tiene la Junta de Extremadura", no solo en el SES, sino también en la Consejería de Educación.

Además, Gil Rosiña ha afeado a Sara García su "falta de transparencia" ya que se ha dirigido "tarde" a los usuarios afectados por este ciberataque, ya que éste tuvo lugar el 5 de octubre y los ciudadanos lo conocieron a través de los medios el día 29.

Así, ha resaltado que la Policía Nacional "ha hecho su trabajo", pero la Junta de Extremadura "no lo ha hecho", ya que "no ha informado a los ciudadanos debidamente del robo de sus datos, tras lo que ha señalado que los usuarios afectados "podrían reclamar".

INFORMACIÓN A LOS USUARIOS

En su respuesta, la consejera extremeña de Salud ha explicado que el pasado 5 de octubre detectaron un "acceso indebido, automatizado y masivo" al centro de salud online del Servicio Extremeño de Salud desde un servidor virtual anónimo alojado en el extranjero, tras lo que ha aclarado que "la arquitectura de seguridad del SES está compuesta por varias capas y mantiene a las bases de datos fuera de la exposición directa a Internet".

Así, la "estrecha monitorización" identificó el ataque, permitiendo que el acceso afectara al 1,6 por ciento del total de usuarios, que supone 18.416 personas.

Ante esta situación, la gerencia del SES presentó ese mismo día una denuncia en la Policía Nacional, notificó el ciberataque a la Agencia Española de Protección de Datos, así como al Centro Criptológico Nacional, y desde el SES están trabajando para informar a los afectados.

García Espada ha explicado que, a petición de la Policía Nacional, han mantenido la "debida reserva" sobre este asunto para no comprometer la investigación en curso, hasta que el pasado 26 de octubre detuvieron a un hombre en Mérida, día en el que también fueron informados los usuarios afectados a través de 17.806 SMS, 7.400 correos electrónicos, 574 cartas, por lo que se enviaron "un total de 25.824 comunicaciones, usando varias vías disponibles para un mismo usuarios".

También se han habilitado vías de comunicación directas a través del delegado de protección de datos, ha avanzado la titular extremeña de Salud.

En ese sentido, García Espada ha señalado que este jueves, 5 de noviembre se cumple un mes del ciberataque, sobre el que ha explicado que "los datos originales nunca fueron eliminados del Servicio Extremeño de Salud", sino que se produjo una "extracción ilícita" de una copia de determinada información de los usuarios afectados, que "fue localizada e intervenida y permanece bajo custodia judicial con garantías de cadena de custodia digital".

Esta actuación "ha permitido recuperar la información obtenida ilícitamente", así como "evitar su difusión o comercialización en foros delictivos", tras lo que ha resaltado que una vez que el SES ha interpuesto la denuncia, "no es necesario que los afectados denuncien por estos hechos", ha concluido.