Registro electrónico del paciente: El robo de datos por parte de hackers sigue siendo posible.

Berlín/Hanover. Poco antes de finalizar el año 2024/25, la tranquilidad reinante entre los responsables del historial clínico electrónico (HCE) se vio truncada abruptamente: miembros del Chaos Computer Club (CCC) demostraron en la conferencia anual del club cómo era posible vulnerar el nuevo sistema digital, permitiendo potencialmente el acceso a millones de historiales. Como consecuencia, la implantación del HCE se pospuso inicialmente y cerca del cinco por ciento de los asegurados se opusieron a su uso.

El historial clínico electrónico (HCE) ya se ha implementado oficialmente y, desde el 1 de octubre, es obligatorio para los proveedores de atención médica. En los últimos meses también se han realizado mejoras significativas en las medidas de seguridad: Gematik, la agencia federal de medicina digital, ha implementado varias mejoras tras los informes del Chaos Computer Club (CCC). Hackear el HCE es más difícil hoy en día, pero no imposible.

Los expertos en informática del CCC critican un detalle en particular que aún hace vulnerable la nueva herramienta. Según Gematik, se vislumbra una solución, pero no antes del próximo año.

¡Por fin está aquí! El historial clínico electrónico ya está en funcionamiento. Sin embargo, muchos pacientes aún tienen dudas: ¿Cómo se accede al historial? ¿Quién decide quién puede ver qué información? Y: ¿Qué tan seguros están los datos confidenciales?

Para comprender el problema, es necesario entender cómo funciona la historia clínica electrónica (HCE). Actualmente, para acceder a la historia clínica de un paciente se necesita la tarjeta de identificación del centro médico y, además, los datos completos del asegurado. En concreto: el número de tarjeta, el número de seguro médico, la dirección y la fecha de inicio de la cobertura. Gematik ya ha abordado este problema: la combinación anterior del número de tarjeta y el número de seguro médico ya no es suficiente para acceder a la historia clínica. Además, tras las críticas del Chaos Computer Club (CCC), los desarrolladores han limitado el número de accesos posibles.

Por lo tanto, los obstáculos para un ataque se han vuelto significativamente mayores, pero no insuperables. Datos como direcciones podrían obtenerse potencialmente mediante filtraciones de datos , y otra información mediante phishing. En la conferencia anual del CCC, los especialistas en TI Bianca Kastl y Martin Tschirsich demostraron cómo obtuvieron tarjetas de seguro médico llamando por teléfono a compañías aseguradoras, e incluso tarjetas de identificación de médicos aprovechando una vulnerabilidad de seguridad. En abril, los hackers demostraron nuevamente cómo se puede atacar el historial clínico electrónico (HCE) mediante el procedimiento de certificado sustituto. Posteriormente, Gematik también subsanó esta vulnerabilidad.

Sin embargo, esto aún no satisface del todo a los hackers: la forma en que la agencia gestiona las vulnerabilidades de seguridad es «claramente mejorable», declaró Kastl a la RedaktionsNetzwerk Deutschland (RND). Para minimizar eficazmente el riesgo, el experto en TI propone la implementación de un procedimiento específico para la historia clínica electrónica (HCE).

Toda persona con seguro médico público puede consultar y gestionar su historial clínico electrónico desde su teléfono inteligente. Sin embargo, muy pocos lo hacen. Y es importante, por ejemplo, proteger los documentos confidenciales.

“Actualmente, para acceder a la historia clínica electrónica (HCE) solo se requiere mucha información: números de tarjeta, números de seguro médico, dirección y fecha de inicio de la cobertura”, explica Kastl. “El problema podría solucionarse leyendo únicamente los datos firmados y auténticos de la tarjeta del seguro médico. Esto permitiría una verificación criptográfica irrefutable de que se está leyendo una tarjeta emitida por una compañía de seguros médicos; por lo tanto, existe una tecnología segura desde hace tiempo, pero aún no se ha utilizado para la HCE”.

Según Gematik, precisamente este procedimiento está previsto para el próximo año, tal y como informó la agencia al RND. Se trata de un procedimiento de "Prueba de Presencia del Paciente" (PoPP). Al ser consultada sobre la propuesta del CCC de una firma criptográfica digital, la agencia declaró: "Sí, se prevé un procedimiento de este tipo con PoPP". Sin embargo, aún se encuentra en desarrollo, por lo que no se pueden proporcionar detalles.

Técnicamente, el proceso debería funcionar así: el paciente inserta su tarjeta sanitaria en el dispositivo en la consulta del médico, como antes. Sin embargo, en lugar de simplemente leer los datos de la tarjeta, se ejecuta un proceso de autenticación en segundo plano. El servicio PoPP —parte del sistema de seguridad— genera un número aleatorio y lo envía a la tarjeta sanitaria. La tarjeta encripta el número y devuelve el resultado. Solo si el número aleatorio se ha encriptado correctamente, la tarjeta es auténtica y está físicamente presente. Las autoridades no especificaron inicialmente una fecha de inicio precisa para 2026.

Hasta entonces, persiste al menos un riesgo residual. Los expertos en TI señalan reiteradamente los peligros que pueden surgir de medidas de autenticación inadecuadas en el historial clínico electrónico (HCE). Kastl cita un caso de Singapur: «En 2018, se accedió a los datos de salud de 1,5 millones de personas . El objetivo era también la lista de medicamentos del Primer Ministro». Datos de esta sensibilidad convierten estas filtraciones en «un riesgo para naciones enteras», ya que facilitan ataques contra otras infraestructuras críticas o políticos, explica el experto.

Kastl cita como otro caso la brecha de ciberseguridad sufrida por Bitmarck, proveedor de servicios informáticos para compañías de seguros de salud y proveedor del historial clínico electrónico (HCE), en 2023. En esta brecha, se vieron comprometidos datos como nombres, fechas de nacimiento y el número de historial médico único de la tarjeta del seguro de aproximadamente 300 000 clientes en línea de diversas compañías de seguros de salud. En aquel momento, los expertos en TI también identificaron las medidas de autenticación inadecuadas como una de las causas de la brecha .

Para los particulares, estos ataques pueden tener graves consecuencias. En Dinamarca, un país con una infraestructura digital mucho más avanzada, los delincuentes accedieron a la información más personal de decenas de miles de pacientes a través de un consorcio de centros médicos, incluyendo sus historiales clínicos. Allan Frank, especialista en seguridad informática de la Agencia Danesa de Protección de Datos, declaró entonces a RND que estos datos tan íntimos podrían utilizarse para extorsionar, ya que muy pocos de los afectados querrían que sus tratamientos se hicieran públicos.

En Alemania, la mayoría de los pacientes parecen sentirse bastante seguros con su historial clínico electrónico (HCE), a pesar de sus deficiencias. Hace unas semanas, Gematik publicó cifras actualizadas de uso. Estas cifras mostraron un aumento adicional durante las primeras cuatro semanas, periodo en el que se suponía que los consultorios médicos, farmacias y hospitales debían utilizar el HCE para todos los pacientes.

En la última semana de octubre se registraron 17,4 millones de solicitudes de listas de medicamentos. En la última semana de septiembre, la cifra fue de 12,6 millones. El volumen de historiales clínicos electrónicos también está aumentando: solo en octubre se cargaron 10,6 millones de documentos. El total desde la puesta en marcha del historial clínico electrónico (HCE) asciende a 37 millones.

La proporción de quienes se oponen al historial clínico electrónico (HCE) sigue siendo relativamente baja. Según informó la Asociación Nacional de Fondos de Seguro Médico Obligatorio (GKV-Spitzenverband) a la cadena de noticias RND, la tasa de objeciones se mantiene en torno al cinco por ciento.