Para: cualquier persona en Francia que acuda a un médico (incluidos los residentes extranjeros), y clínicas y médicos que usan software de gestión de consultas en la nube. Este artículo se basa en el comunicado de prensa propio de Cegedim (26 de febrero de 2026), en declaraciones atribuidas al Ministerio de Sanidad de Francia (según se informó y según se citan en una pregunta escrita de la Asamblea Nacional) y en las indicaciones de la CNIL. No describe técnicas de ataque.
Qué deben hacer hoy los pacientes
La notificación proviene de su médico: desconfíe de cualquier otra persona que diga escribir sobre ello
Según Cegedim, a los médicos afectados se les contactó a principios de enero y, si lo deseaban, se les ayudó a notificar a la CNIL e informar a sus pacientes como responsables del tratamiento según el RGPD. Dicho de otro modo, la notificación formal a los pacientes proviene de su propio médico o consulta.
La CNIL afirma que no puede comprobar si sus datos están en un archivo filtrado y no recomienda los sitios de terceros que dicen hacerlo. Si está preocupado, pregunte directamente a su médico por los datos de contacto que ya utiliza.
No haga clic en enlaces de correos o mensajes que digan proceder de un médico, una aseguradora o una autoridad
Con un nombre, una fecha de nacimiento, un teléfono, una dirección y un correo electrónico, alguien puede escribir un mensaje convincente como «Le escribe la consulta del Dr. X» o «Le corresponde un reembolso de su seguro de salud». El consejo de la CNIL: no abra archivos adjuntos, no responda, no haga clic en enlaces y escriba usted mismo la dirección oficial del sitio web. Cómo reconocer estos mensajes se explica en ¿Qué es el phishing?.
Si un mensaje usa su salud o su vida privada para presionarle, no responda; conserve las pruebas
Como una pequeña parte de los pacientes tenía notas sensibles en el campo de texto libre, no se puede descartar un mensaje que muestre conocer su salud o su vida privada y le presione para pagar o actuar.
No responda ni pague, guarde capturas de pantalla y correos como prueba y, como aconseja la CNIL, presente una denuncia (plainte) ante la policía o la gendarmería. Usted no ha hecho nada malo.
Si su identidad se utiliza indebidamente: policía, banco y revisión de cuentas
Si sospecha de un robo de identidad (usurpation d'identité), la CNIL aconseja:
- consultar cybermalveillance.gouv.fr para obtener orientación
- presentar una denuncia ante la policía o la gendarmería lo antes posible
- avisar a su banco o bancos
- comprobar si se han abierto cuentas a su nombre, por ejemplo a través de FICOBA (mediante impots.gouv.fr)
Pida a su médico, por escrito, qué consta sobre usted
En virtud del derecho de acceso del RGPD (droit d'accès), puede preguntar a la consulta qué información tiene sobre usted. Según la CNIL, la organización debe responder en un plazo máximo de un mes (ampliable en casos complejos). Saber qué dice el campo de texto libre sobre usted también le ayuda a valorar cualquier mensaje posterior que diga conocerlo.
1 proveedor de software (MLM)
La lista de pacientes de cada médico usuario, en la nube
↓
3.800 médicos usan MLM
Actividad anómala en 1.500 cuentas (Cegedim)
↓
Unos 15 millones de pacientes
Datos administrativos: nombre, fecha de nacimiento, datos de contacto (Ministerio de Sanidad)
↓
Cerca de un 1% de ellos
Notas de los médicos sobre información sensible en el campo de texto libre
La empresa afirma que las historias clínicas estructuradas permanecieron intactas
Qué ocurrió (según el comunicado de Cegedim y el Ministerio de Sanidad)
Todo lo que sigue figura en el comunicado de prensa de Cegedim del 26 de febrero de 2026, o se atribuye al Ministerio de Sanidad de Francia en informaciones de prensa y en una pregunta escrita de la Asamblea Nacional.
Finales de 2025
Cegedim Santé identificó un comportamiento anómalo en las solicitudes de aplicación en las cuentas de médicos que usan MLM (MonLogicielMedical.com). La empresa afirma que tomó todas las medidas necesarias en cuanto se detectó el incidente y que lo contuvo. Notificó a la CNIL y presentó una denuncia ante la fiscalía.Principios de enero de 2026
Se contactó con todos los médicos afectados; equipos dedicados ayudaron a quienes lo desearon a notificar a la CNIL e informar a sus pacientes.26 de febrero
Tras un reportaje televisivo sobre filtraciones de datos, Cegedim publicó un comunicado de prensa con los hechos.Finales de febrero – marzo
Según se informó, el Ministerio de Sanidad calcula que el número de pacientes que podrían verse afectados es de unos 15 millones, con cerca de un 1% con notas sensibles. En marzo, un diputado citó las cifras del ministerio en una pregunta escrita al Gobierno.
- Quién
- Cegedim Santé, filial del Grupo Cegedim que publica software para profesionales sanitarios en Francia. El producto implicado es el software para médicos MLM (MonLogicielMedical.com)
- Cómo se detectó
- A finales de 2025, comportamiento anómalo en las solicitudes de aplicación en las cuentas de los médicos
- Datos implicados
- Solo del expediente administrativo del paciente: apellidos, nombre, sexo, fecha de nacimiento, teléfono, dirección, correo electrónico y comentarios administrativos escritos en texto libre a criterio del médico. En un número muy limitado de pacientes, esos comentarios pueden haber contenido notas personales del médico sobre información sensible
- No afectados
- Las historias clínicas estructuradas de los pacientes
- Notificaciones
- Notificación a la CNIL; denuncia presentada ante la fiscalía; colaboración con la investigación
- Otros
- La empresa afirma que la parte responsable nunca se puso en contacto con ella
Cómo leer las cifras: de dónde proceden los 15 millones y el 1%
La cifra de 15 millones se atribuye al Ministerio de Sanidad en informaciones de prensa y se cita como cifra del ministerio en una pregunta escrita de la Asamblea Nacional; el comunicado de Cegedim del 26 de febrero no ofrece un recuento de pacientes.
El número de pacientes con notas sensibles se recoge como unos 169.000 en la cobertura informativa y 164.000 en la cifra del ministerio citada en la pregunta escrita, por lo que este artículo utiliza cerca de un 1%. No se usan las cifras atribuidas a la parte que obtuvo los datos.
La etiqueta decía «comentario administrativo», pero el campo podía contener notas sobre la salud de un paciente
El detalle más fácil de pasar por alto es de qué campo procedían los datos sensibles. Según la empresa, la historia clínica estructurada (donde los diagnósticos y las prescripciones se registran en un formato fijo) no se vio afectada.
Lo que se filtró fue el «comentario administrativo», el campo que suena menos sensible. Pero un cuadro de texto libre contiene lo que quien escribe considera que merece anotarse.
Historia clínica estructurada
- Diagnósticos, prescripciones y resultados en un formato fijo
- El sistema sabe qué contiene cada campo
- Según la empresa, intacta en este incidente
Comentario administrativo (texto libre)
- El médico puede escribir cualquier cosa
- La etiqueta es ligera; el contenido depende de quien lo escribió
- Contenía notas sensibles para una pequeña parte de los pacientes (según la empresa)
La protección de datos suele decidir con qué rigor proteger un dato según el nombre del campo: estricto para la «historia clínica», menos para los «datos de contacto» o los «comentarios». Un campo de texto libre rompe ese modelo, porque su sensibilidad real depende de lo que se haya escrito en él. Proteja un campo según lo que realmente contiene, no según cómo se llame. Es la lección más concreta que una consulta puede extraer de este caso.
Para consultas que usan software médico en la nube
Sepa que notificar a los pacientes es un deber de la consulta, no del proveedor
Cegedim afirma que ayudó a los médicos afectados, como responsables del tratamiento según el RGPD, a notificar a la CNIL e informar a sus pacientes. Según la CNIL, el responsable debe notificarlo en un plazo de 72 horas desde que tiene conocimiento de una violación y, cuando el riesgo es alto, informar a las personas afectadas.
El encargado del tratamiento (el proveedor de software) debe alertar inmediatamente al responsable cuando descubre una violación. Revise su contrato: ¿en cuántas horas y por qué canal le avisará el proveedor?
Decida qué se introduce en los campos de texto libre
Todo lo relacionado con la salud o la vida privada de un paciente pertenece a la parte adecuada de la historia clínica, no al comentario administrativo. Redacte una norma de una página sobre lo que puede y no puede escribirse en los campos de comentarios, y compártala con el personal de recepción y los médicos sustitutos.
Puede empezar revisando los campos de comentarios de unas pocas decenas de sus propios pacientes para ver qué hay ya.
Una cuenta por persona, con autenticación multifactor activada
No se ha publicado cómo se llegaron a usar las cuentas, pero el impacto se produjo a través de las cuentas de médicos individuales.
- No comparta un mismo inicio de sesión entre recepción y médicos
- Active la autenticación multifactor para todos si el software la ofrece
- Desactive en el mismo día la cuenta de quien deje la consulta
Para elegir un método, consulte Cómo elegir la autenticación multifactor.
Pregunte al proveedor quién notaría una actividad inusual en la cuenta de un médico
Lo que Cegedim detectó fue un comportamiento anómalo de las solicitudes en las cuentas de los médicos. Una consulta pequeña no puede ejecutar su propia monitorización, así que haga al proveedor tres preguntas:
- ¿Hay una alerta cuando una cuenta abre muchos más expedientes de pacientes de lo habitual?
- ¿Se informa a la consulta cuando se activa?
- ¿Puede la consulta ver el historial de accesos de su propia cuenta?
Por ejemplo, un médico que atiende unas pocas decenas de pacientes al día nunca debería tener una cuenta que lea miles de historias de pacientes. Un umbral fijado en un volumen que ninguna consulta humana podría generar es una primera regla realista.
Sepa de antemano dónde notificar un incidente
Además de notificar a la CNIL, las organizaciones sanitarias pueden acudir a CERT Santé, el equipo de respuesta a incidentes de seguridad del sector sanitario (portal de notificación: signalement.social-sante.gouv.fr). Una sola página que indique quién notifica qué, dónde y en cuántas horas evita dudas cuando el proveedor llame.
Opinión de este sitio: guardar los datos en la nube de un solo proveedor facilita protegerlos, pero una brecha allí es más grave
El software de consulta en la nube suele ser más fácil de asegurar que un servidor en cada clínica, y elegirlo no es un error en sí mismo. Pero una vez que un solo proveedor tiene las listas de pacientes de miles de consultas, una debilidad afecta a todas a la vez.
Una consulta solo ve su propia cuenta; no puede ver lo que ocurre en las cuentas de los miles de otros médicos de la misma plataforma.
Por eso, la pregunta correcta al elegir software no es «¿es seguro?», sino «si ocurre algo inusual en mi cuenta, ¿quién lo notará, con qué rapidez y cómo me lo comunicarán?».
Si la respuesta no es concreta, parta de la base de que quizá ese sistema no tiene ese control. La referencia general está en La base mínima de seguridad para organizaciones.
Para otro caso francés revelado en 2026, que involucra al portal nacional de documentos de identidad, véase la filtración de ANTS (France Titres). Los hospitales cuya atención se vio interrumpida por ciberataques se comparan en cuatro ciberataques a hospitales en 2026.
Fuentes (registro público)
Los hechos de este artículo proceden de las fuentes públicas siguientes. No se usan las afirmaciones de la parte que obtuvo los datos, las descripciones de los medios sobre el contenido filtrado ni las causas no reveladas.
- Cegedim, comunicado de prensa «Statement regarding the report broadcast during France 2 TV's 8 p.m. news program on February 26, 2026» (traducción al inglés) — cegedim.com (PDF) / original en francés — cegedim.fr (PDF)
- Asamblea Nacional de Francia, pregunta escrita n.º 13530 «Données médicales piratées : quelles garanties ?» (Journal officiel, 10 de marzo de 2026; cita las cifras del ministerio de 15 millones y 164.000) — assemblee-nationale.fr
- Agencia Anadolu, «15M French citizens affected by massive data breach following cyberattack on medical software» (recoge la cifra del ministerio de unos 169.000) — aa.com.tr
- CNIL, «Fuite ou vol de données : comment savoir si cela vous concerne et que pouvez-vous faire ?» — cnil.fr
- CNIL, «Les violations de données personnelles» (notificación en 72 horas, deberes del encargado del tratamiento) — cnil.fr
- CNIL, «Le droit d'accès : connaître les données qu'un organisme détient sur vous» — cnil.fr
- CERT Santé (equipo de respuesta a incidentes de seguridad del sector sanitario), «Fuite de données» — cyberveille.esante.gouv.fr
Historial de actualizaciones
2026-09-30: Primera versión, basada en el comunicado de prensa de Cegedim del 26 de febrero de 2026, en las cifras del Ministerio de Sanidad citadas en una pregunta escrita de la Asamblea Nacional y en la cobertura informativa, y en las indicaciones de la CNIL y de CERT Santé. Los detalles técnicos de la causa no se han publicado; este artículo se actualizará si se publican.
Lea a continuación
- El mismo patrón: MyDr (software polaco de historias clínicas)
- Otro caso francés de este año: La filtración de ANTS (France Titres)
- Ciberataques a la sanidad: Cuatro ciberataques a hospitales en 2026 y qué deben hacer pacientes y proveedores
- Cuando una cuenta legítima es la vía de entrada: Las filtraciones de 2026 se produjeron con credenciales legítimas
- Cómo detectar estafas derivadas: ¿Qué es el phishing? / Cómo elegir la autenticación multifactor
- Otros incidentes de 2026: lista de filtraciones y ciberataques (Japón y todo el mundo)