ChipSoft, un proveedor neerlandés de software de historiales electrónicos de pacientes, ha confirmado que los datos de los pacientes fueron robados durante un ataque de ransomware que afectó a sus sistemas y a las instituciones sanitarias conectadas.
La empresa afirmó que una investigación forense encontró que los atacantes habían accedido y exfiltrado datos personales, incluidos registros médicos, de “varios clientes holandeses”. La confirmación se produce tras la incertidumbre previa sobre si la información sensible del paciente había sido comprometida.
El incidente se origina a partir de un ataque de ransomware identificado a principios de abril de 2026. Según Z-CERT, el equipo de respuesta informática a emergencias del sector sanitario neerlandés, el ataque se dirigió a los sistemas utilizados por hospitales, médicos generales y otros proveedores sanitarios.
ChipSoft desarrolla software utilizado para gestionar historiales médicos electrónicos, incluida su plataforma HiX, que está integrada en una gran parte de la infraestructura sanitaria holandesa. Los informes indican que aproximadamente el 70% de los hospitales en los Países Bajos utilizan los sistemas de la empresa, lo que aumenta el alcance potencial del incidente.
Tras el ataque, se aconsejó a las instituciones sanitarias desconectarse de los sistemas de ChipSoft y vigilar sus redes en busca de actividades sospechosas. Algunos hospitales desactivaron temporalmente los portales de pacientes y los servicios digitales como medida de precaución.
Las declaraciones iniciales de la empresa indicaban que no podía confirmar si se había accedido a los datos de los pacientes. A medida que avanzaba la investigación, ChipSoft actualizó su posición y confirmó que se había producido un robo de datos.
La empresa informó que las organizaciones sanitarias afectadas han sido notificadas. También indicó que las instituciones que gestionan el software de forma independiente o a través de terceros separados no se vieron afectadas por la brecha.
Según medios holandeses citados en informes, al menos 66 instituciones sanitarias han presentado notificaciones de brechas de datos ante la autoridad nacional de protección de datos.
El ataque interrumpió el acceso a los servicios de salud digitales, incluidos portales para pacientes y sistemas internos utilizados para gestionar los historiales médicos. Los hospitales informaron de impactos operativos como tiempos de espera más largos y dependencia de procesos alternativos cuando los sistemas no estaban disponibles.
ChipSoft declaró que la investigación sigue en curso y que se compartirán más hallazgos con las organizaciones afectadas a medida que estén disponibles. No se han revelado detalles sobre la identidad de los atacantes ni el método utilizado para acceder a ellos.
Funcionarios gubernamentales también han respondido al incidente. Las autoridades holandesas declararon que se espera que la empresa realice una investigación completa sobre la brecha y aporte claridad sobre el alcance de la exposición.