Etiqueta: Data Breach

Amazon Web Services confirmó que recursos de clientes alojados en sus regiones de Baréin y Emiratos Árabes Unidos son irrecuperables tras ataques iraníes que superaron la redundancia regional diseñada para resistir fallas. Una zona de disponibilidad en los EAU permanece inaccesible, según se informó el 16 de septiembre de 2026.

Los impactos afectaron infraestructura física de AWS en dos regiones del Medio Oriente. En Baréin, los ataques sobrepasaron los mecanismos de redundancia entre zonas de disponibilidad —el esquema de aislamiento de fallas que AWS considera su primera línea de resiliencia—, dejando datos de clientes sin posibilidad de recuperación. En los EAU, al menos una zona de disponibilidad quedó directamente inaccesible, según se informó. AWS no especificó públicamente el volumen de recursos afectados ni el número de clientes impactados.

Datos confirmados al 16 de septiembre de 2026

• Región AWS Baréin (me-south-1): redundancia regional superada, recursos declarados irrecuperables.
• Región AWS EAU (me-central-1): al menos una zona de disponibilidad inaccesible.
• Causa confirmada por AWS: daño físico por ataques iraníes.
• Fecha de comunicación oficial: 16 de septiembre de 2026.
• Volumen de datos perdidos y número de clientes afectados: no divulgados.

Qué se sabe y qué falta confirmar

AWS reconoció la pérdida permanente de recursos, lo que implica que los SLA estándar de durabilidad —incluida la promesa de 99,999999999% (11 nueves) para Amazon S3— no cubren escenarios de daño físico por conflicto armado, situación expresamente excluida en las condiciones de servicio bajo la cláusula de fuerza mayor. No se confirmó si AWS activó procedimientos de notificación a clientes bajo marcos regulatorios aplicables, ni si existen clientes bajo jurisdicciones con obligaciones de notificación de brechas —como el GDPR en su extensión a empresas con filiales europeas— que procesen datos en esas regiones. Tampoco se informó si hay plazos de restablecimiento parcial de la zona EAU afectada.

Para organizaciones latinoamericanas con operaciones en Medio Oriente —incluidas empresas con presencia en los EAU bajo acuerdos de libre comercio con México, y compañías con filiales en Baréin vinculadas a grupos financieros de Brasil o Argentina—, el escenario expone un riesgo que los marcos de gobernanza de datos de la región raramente contemplan: la pérdida definitiva de datos en la nube por eventos de fuerza mayor en zonas geopolíticamente inestables. Las políticas de respaldo multi-región fuera del área de conflicto serán el criterio diferenciador entre organizaciones que recuperen operaciones y las que no.

El próximo hito crítico es la comunicación formal de AWS a clientes afectados con detalle de recursos irrecuperables, que determinará si se activan obligaciones de notificación regulatoria en las jurisdicciones de cada cliente.

Seis de cada diez ciberataques registrados en Colombia tienen como blanco instituciones del sector salud, según un reporte de Biofile que toma como base mediciones del IBM X-Force Index. La cifra posiciona a hospitales y clínicas colombianas como el principal objetivo de amenazas digitales en el país, y dispara preguntas urgentes sobre el estado de la gobernanza de datos en el sistema sanitario.

El dato fue reportado el 13 de septiembre de 2026 por Joseph Freixes en DataBreaches.net, citando el informe de Biofile. La concentración del 60% de los ataques en un solo sector no es casualidad: la información médica combina datos sensibles de alta demanda en mercados ilegales — diagnósticos, historiales clínicos, números de identificación, datos de cobertura — con entornos tecnológicos históricamente subfinanciados en materia de seguridad y gobernanza. No se ha confirmado públicamente el número total de incidentes sobre el que se calcula ese porcentaje, ni si todos los casos involucraron exfiltración confirmada de datos.

Qué falló: clasificación, ownership y controles de acceso en hospitales colombianos

Cuando el sector salud concentra la mayoría de los ataques exitosos, el problema raramente es solo técnico. Desde la perspectiva del DAMA-DMBOK, los hospitales colombianos enfrentan déficits estructurales en tres capabilities críticas: clasificación de datos (data classification), definición de propietarios del dato (data ownership) y control de acceso basado en roles. Sin un catálogo activo que distinga qué registros son críticos y quién responde por ellos, cualquier vector de entrada —ransomware, credenciales comprometidas, acceso indebido— puede moverse lateralmente sin fricción. El marco CDMC del EDM Council establece que los controles de seguridad de datos deben estar alineados con la clasificación formal; en entornos hospitalarios públicos de Colombia, ese alineamiento es, en la mayoría de los casos, inexistente o informal.

Colombia cuenta con la Ley 1581 de 2012 de Protección de Datos Personales y su decreto reglamentario 1377 de 2013, que obligan a los responsables del tratamiento a implementar medidas de seguridad adecuadas para proteger datos sensibles — categoría en la que cae explícitamente la información de salud. La Superintendencia de Industria y Comercio (SIC) es la autoridad de control con facultades sancionatorias. Sin embargo, la brecha entre el marco legal vigente y la capacidad operativa real de los hospitales públicos para implementar gobernanza efectiva sigue siendo amplia. La SIC no ha publicado, hasta la fecha de este reporte, sanciones consolidadas específicas contra instituciones de salud por fallas de seguridad.

Señal para CDOs y data stewards del sector salud en la región

El patrón colombiano no es aislado. En Brasil, la ANPD ha señalado al sector salud como uno de los más expuestos bajo la LGPD, y en Argentina la AAIP ha recibido notificaciones de incidentes en clínicas privadas bajo la Ley 25.326. Lo que diferencia a las organizaciones que contienen el daño de las que no es la existencia de un programa activo de gobernanza: inventario de activos de datos, data stewards designados por dominio clínico, y procedimientos de notificación ensayados. Un CDO o responsable de datos en un hospital colombiano debería, como primer paso, mapear qué sistemas contienen datos de pacientes, quién tiene acceso hoy y si ese acceso está documentado y justificado. Esa auditoría de acceso — ejecutable en días con herramientas básicas — es el insumo mínimo para una conversación real con la dirección sobre riesgo.

• Confirmar si existe un inventario formal de bases de datos con información de pacientes y su nivel de clasificación.
• Identificar al data steward responsable por cada dominio clínico (historiales, facturación, laboratorio).
• Revisar si los procedimientos de notificación a la SIC ante incidentes están documentados y tienen un responsable asignado.
• Evaluar si los controles de acceso están alineados con la clasificación de datos sensibles exigida por la Ley 1581.

Mientras el 60% de los ataques digitales en Colombia sigan concentrándose en un sector que gestiona la información más sensible de las personas, la pregunta no es si las instituciones de salud serán el próximo blanco — sino si sabrán qué datos tenían cuando ya sea tarde.