Los datos sanitarios de miles de madrileños han estado presuntamente expuestos al público a causa de un fallo de seguridad.

El fallo fue consecuencia de un error de programación que dejaba abierta una vía de acceso a los datos a través de un programa proxy, un software de fácil obtención. La información ha sido destapada por Telemadrid tras una denuncia anónima. Se desconoce por el momento si la brecha ha sido comunicada a la Agencia Española de Protección de Datos y también si se ha producido un acceso a los datos por parte de un actor malicioso.

La brecha de seguridad se dio al no implementar las medidas de seguridad necesarias en el servidor por parte de los programadores. La falta de estas medidas permitía que una persona pudiese emplear un software denominado proxy para acceder a datos como el nombre completo, número de teléfono, número de Seguridad Social y el historial de direcciones de cualquier ciudadano con residencia en Madrid. Si bien era necesario contar con conocimientos de informática para llevar a cabo la consulta.

Distintos medios han publicado pantallazos que mostraban información supuestamente obtenida a través de este procedimiento.

El problema estaría subsanado

La Consejería de Sanidad ha informado a través de su cuenta de Twitter de que la supuesta brecha es un bulo. Sin embargo, Telemadrid cita fuentes de la misma Consejería que reconocen que se detectó «una vulnerabilidad de seguridad en la funcionalidad del portal del ciudadano para la obtención del certificado COVID, que afectaba a un enlace que no es de dominio público. Esta incidencia ha venido ocasionada por la subida de una actualización que pasó los protocolos de pruebas y que en el proceso de puesta en marcha generó una brecha que ha quedado solventada en horas tras ser detectada por los servicios de calidad».

Según Telemadrid, el fallo no se solucionó hasta el miércoles 7 de junio, aunque no hay datos sobre cuando empezó. No sabemos, por lo tanto, cuanto duró la supuesta brecha.

Las versiones encontradas de la prensa y la propia Consejería impiden por el momento evaluar el alcance y gravedad de la brecha. Cabe esperar que, de haberse producido, se haya cumplido con el deber de informar a la AEPD en tiempo y forma.

Asimismo, la AEPD podría realizar una investigación de oficio o bien a instancias de una denuncia ya presentada por Telemadrid para llegar al fondo del asunto. De ser así, podríamos tener más detalles sobre qué fue lo que realmente ocurrió.