Publicación canónica: https://www.miguelgallardo.es/perito-aepd-quiron-brecha
Denuncia penal publicada en: https://www.miguelgallardo.es/aepd-quiron-denuncia.pdf
Copia firmada digitalmente: https://cita.es/aepd-quiron-denuncia-firmado.pdf
Órgano judicial: Sección de Instrucción del Tribunal de Instancia de Madrid, Plaza nº 25. Magistrada Instructora: Raquel Robles González.
Última actualización: 24 de septiembre de 2026, 08:35 horas.
El presente documento constituye la recopilación, depuración forense y ordenación cronológica de toda la información técnica, periodística y judicial documentada hasta la fecha (24 de septiembre de 2026) sobre la brecha informática que afectó al Grupo Quirónsalud (IDCQ Hospitales y Sanidad, S.L.U., CIF B-87324844, Calle Zurbarán nº 28, 28010, Madrid).
La traza documental abarca desde la reivindicación inicial del grupo de ransomware Dire Wolf el 10 de agosto de 2026 hasta la revelación pública de la exposición de historiales clínicos de pacientes con VIH por parte del programa Malas Lenguas de RTVE el 22 de septiembre de 2026, así como las actuaciones judiciales y administrativas instadas por APEDANICA.
Este documento se publica como anexo técnico de trazabilidad digital para la ampliación de la denuncia penal que se presentará ante la Magistrada Raquel Robles González (Sección de Instrucción del Tribunal de Instancia de Madrid, Plaza nº 25). Incluye un pliego de preguntas técnico-forenses diseñado para obligar a la aportación de evidencia primaria por parte de la AEPD, IDCQ, RTVE y la Policía Judicial.
La inclusión de una entidad en los listados públicos de grupos ransomware constituye inicialmente una atribución o reivindicación del atacante y no equivale por sí sola a la acreditación forense de intrusión, exfiltración o afectación efectiva de datos. Las fuentes utilizadas pertenecen a tres categorías distintas: (i) monitorización OSINT y ransomware, (ii) publicaciones periodísticas, y (iii) documentos administrativos o judiciales. La coincidencia entre categorías distintas puede reforzar el interés investigador, pero no sustituye la acreditación forense de los hechos.
Para el correcto análisis de la Magistrada Instructora, los hechos y referencias contenidos en este documento se clasifican estrictamente bajo los siguientes niveles de verificación:
Principio rector: La coincidencia temporal entre fuentes de distintas categorías no equivale por sí sola a identidad de incidente, atribución del ataque ni acreditación de exfiltración. La investigación judicial deberá determinar, mediante pericial informátoscópica, si existe conexión forense entre las distintas señales documentadas.
Hecho documentado: Inclusión del perfil corporativo de Quirónsalud dentro del listado de víctimas asociadas al operador criminal Dire Wolf.
Valor probatorio: Registro contemporáneo de la atribución de Quirónsalud al grupo Dire Wolf por un agregador independiente de incidentes en la Dark Web. No acredita por sí mismo la existencia de extorsión ni de intrusión efectiva.
URL completa:
Hecho documentado: Notificación pública de riesgo reputacional y detección de la señal de brecha vinculada al dominio sanitario.
Valor probatorio: Acredita que la señal de alerta sobre Quirónsalud ya circulaba en plataformas de ciberseguridad corporativa.
URL completa:
Hecho documentado: Registro de la actividad del grupo Dire Wolf y captura de la reivindicación sobre la entidad.
Valor probatorio: Evidencia de la vigencia de la campaña del grupo en fuentes abiertas de inteligencia (OSINT).
URL completa:
Hecho documentado: Catalogación en la categoría Healthcare / Pharma Ransomware Victims de la entrada del grupo hospitalario en España.
Valor probatorio: Registro adicional de la fecha de descubrimiento atribuida al incidente (10/08/2026).
URL completa:
Hecho documentado: Indexación de la entrada del incidente en el catálogo especializado de ciberamenazas.
Valor probatorio: Registro complementario para la fijación temporal del hecho inicial.
URL completa:
Hecho documentado: Publicación de la crónica especializada «Direwolf gang lists Spain's largest hospital group Quironsalud».
Valor probatorio de especial relevancia: Advierte expresamente de que se trataba de una reivindicación del atacante sin confirmación oficial de Quirónsalud en esa fecha y que no se especificaba aún volumen de datos exfiltrados. Además, recopila señales sobre credenciales de la entidad en repositorios de fuga.
URL completa:
Hecho documentado: Publicación del informe «Direwolf Ransomware Attack on Quironsalud, Spain's Health Giant».
Valor probatorio: Documenta la exigencia y amenaza de publicación de datos por parte del grupo si no se abrían vías de contacto.
URL completa:
Hecho documentado: Registro técnico en el repositorio «Ransomware Group direwolf Hits: Quironsalud».
Valor probatorio: Indicador secundario de telemetría y marcas temporales de la difusión.
URL completa:
Hecho documentado: Análisis especializado sobre la necesidad de verificación pericial del incidente atribuido a Dire Wolf.
Valor probatorio: Prueba de la difusión contemporánea entre profesionales del sector bajo la etiqueta de «desarrollo de incidente de ciberseguridad».
URL completa:
Hecho documentado: Publicación del artículo «Un grupo de hackers asegura haber robado datos médicos y financieros de pacientes de Quirón en España».
Valor probatorio: Cabecera de prensa escrita que publicó una de las primeras crónicas del ataque inicial. Recoge la alerta de Hackmanac y el estado «pendiente de verificación».
URL completa:
Hecho documentado: Publicación del artículo «Un grupo de ransomware reivindica el robo de historiales médicos de Quirónsalud: la compañía no lo confirma».
Valor probatorio: Confirmación de la reivindicación y del estado de falta de confirmación oficial. Menciona que el grupo no concretó el volumen de datos comprometidos.
URL completa:
Hecho documentado: Publicación de la alerta primaria de la firma forense Hackmanac en la red social X.
Valor probatorio: Fuente atribuida al origen de la reivindicación, cuya publicación original en X debe ser preservada y autenticada. Estado: «Pending verification». La URL de X está pendiente de preservación/fe pública por la Policía Judicial.
URL completa:
Reproducción archivada verificada:
Hecho documentado: Exclusiva periodística «Hackeo en Quirón expone historiales clínicos de pacientes con VIH en Madrid».
Valor probatorio fundamental: Documenta periodísticamente la exposición de datos clínicos sensibles y aporta indicios que justifican su comprobación y preservación forense. Acredita la existencia de comunicaciones previas remitidas por IDCQ a los pacientes afectados advirtiéndoles de un riesgo de seguridad. Una noticia periodística no acredita por sí misma, en sentido forense, la exfiltración ni el contenido exacto de una base de datos.
URL completa e íntegra:
Hecho documentado: Publicación del vídeo de la exclusiva en Instagram.
Valor probatorio: Prueba audiovisual de la difusión de la noticia.
URL completa:
Hecho documentado: Publicación sobre Fátima Matute, Consejera de Sanidad de Madrid.
Valor probatorio: Contexto de la cobertura mediática. Nota: Esta URL corresponde a una publicación sobre Fátima Matute, no necesariamente al reportaje del hackeo. No debe presentarse como enlace directo de la noticia sobre la brecha sin conservar antes una copia de la página y verificar exactamente su contenido.
URL completa:
URL completa:
URL completa:
URL completa:
URL completa:
URL completa:
Para el correcto análisis de la Magistrada Instructora, se establece la siguiente gradación de hechos según su estado de verificación, con indicación de las diligencias técnicamente requeridas para cada nivel:
| Evento / Hecho | Estado Probatorio Actual | Diligencia Requerida |
|---|---|---|
| 1. Reivindicación de Dire Wolf | Documentado en fuentes OSINT / Agregadores (Nivel C) | Preservación de metadatos de capturas y publicación original en X |
| 2. Intrusión no autorizada en IDCQ | Pendiente de acreditación forense (Nivel D) | Requerimiento de logs de acceso, cortafuegos, SIEM y registros de autenticación |
| 3. Exfiltración efectiva de bases de datos | Pendiente de acreditación forense (Nivel D) | Inspección técnica, auditoría de fuga de datos y análisis de tráfico de salida |
| 4. Coincidencia muestra RTVE ↔ IDCQ | Indicio periodístico / Pendiente de cotejo (Nivel B-D) | Cotejo de campos, registros, identificadores y códigos de sistema |
| 5. Integridad del lote de 160.181 registros | No verificado públicamente (Nivel C) | Peritaje de la Brigada Central de Ciberdelincuencia / Inspección de la Brigada Central de Investigación Tecnológica |
| 6. Antecedente sancionador AEPD (PS-00288-2024) | Documentado en resolución administrativa pública (Nivel A) | Incorporación como contexto de antecedentes; auditoría de medidas de cumplimiento |
Nota metodológica: Las fuentes OSINT, periodísticas y administrativas pertenecen a distintas categorías probatorias; la coincidencia temporal de señales no implica identidad automática de incidente ni autoría probada sin la correspondiente pericial informátoscópica.
La siguiente tabla resume todas las URLs completas, verificadas y con sus fechas precisas de publicación, ordenadas cronológicamente. Todas las URLs son literalmente copiables y verificables.
| Fecha | Fuente / Emisor | URL Completa Verificada | Relevancia Procesal |
|---|---|---|---|
| 10/08/2026 | RansomWatch | https://ransomwatch.mousqueton.io/group/direwolf | Registro contemporáneo de la atribución de Quirónsalud al grupo Dire Wolf. |
| 10/08/2026 | Ransomware.live | https://www.ransomware.live/id/UXVpcm9uc2FsdWRAZGlyZXdvbGY= | Ficha técnica de la víctima con fecha de descubrimiento 10-08-2026 y datos de credenciales comprometidas. |
| 10/08/2026 | HackNotice | https://hacknotice.com/2026/08/10/quironsalud/ | Registro perimetral de alerta. |
| 10/08/2026 | RansomLook | https://www.ransomlook.io/group/direwolf | Detección de la reivindicación OSINT. |
| 10/08/2026 | Breach House | https://breachou.se/category/healthcare-pharma | Indexación en categoría Healthcare. |
| 10/08/2026 | Digital Checkmark | https://digitalchk.com/ransomware-group/direwolf/ | Registro adicional de la fecha de descubrimiento atribuida al incidente. |
| 11/08/2026 | MedRisk | https://medrisk.io/2026/08/11/direwolf-gang-lists-spains-largest-hospital-group-quironsalud/ | Informe técnico y prudencia sobre falta de confirmación. |
| 11/08/2026 | DeXpose | https://www.dexpose.io/direwolf-ransomware-attack-on-quironsalud-spains-health-giant/ | Acreditación de la amenaza de divulgación. |
| 11/08/2026 | HookPhish | https://www.hookphish.com/blog/ransomware-group-direwolf-hits-quironsalud/ | Indicador técnico secundario. |
| 11/08/2026 | LinkedIn (Análisis) | https://www.linkedin.com/posts/phanikumar-varikuti-0862b312a_ransomware-direwolfransomware-incidentresponse-activity-7492757391046832128-09Ks | Valoración profesional contemporánea. |
| 11/08/2026 | La Voz del Sur | https://www.lavozdelsur.es/actualidad/salud/un-grupo-de-hackers-asegura-haber-robado-datos-medicos-y-financieros-de-pacientes-de-quiron-en-espana.html | Cabecera de prensa escrita que publicó una de las primeras crónicas del ataque inicial. |
| 12/08/2026 | Hoy Aragón | https://www.hoyaragon.es/innovacion/grupo-ransomware-reivindica-robo-historiales-medicos-quironsalud-compania-confirma/20260812104451141672.html | Confirmación de la reivindicación y falta de confirmación oficial. Fecha corregida según metadatos de URL. |
| 10-11/08/2026 | Hackmanac (X) | https://x.com/H4ckmanac/status/2087053059037843587 | Fuente atribuida al origen de la reivindicación. Pendiente de preservación/fe pública. |
| 21/09/2026 | Facebook Malas Lenguas | https://www.facebook.com/MalasLenguasTVE/videos/-qui%C3%A9n-es-f%C3%A1tima-matute-la-consejera-de-sanidad-de-madrid-en-el-foco%EF%B8%8F-m%C3%A9dica-y-r/2287717845364118/ | Contexto de cobertura. No es el enlace directo de la noticia del hackeo. |
| 22/09/2026 | RTVE Stories | https://stories.rtve.es/actualidad/newstory/malas-lenguas/f7fb1924c4bc5516c2fc | Prueba clave: Documenta periodísticamente la exposición de historiales de VIH e indica comunicaciones de IDCQ a pacientes. |
| 22/09/2026 | Instagram Malas Lenguas | https://www.instagram.com/reel/DdmJYv1qEYD/ | Prueba audiovisual de la exclusiva. |
| 22/09/2026 | MiguelGallardo.es | https://www.miguelgallardo.es/aepd-quiron-denuncia.pdf | Denuncia matriz unificada. |
| 22/09/2026 | Cita.es | https://cita.es/aepd-quiron-denuncia-firmado.pdf | Copia firmada telemáticamente. |
| 22/09/2026 | Cita.es (Registro) | https://cita.es/aepd-quiron-denuncia-registro.pdf | Justificante de entrada en sede judicial. |
| 23/09/2026 | Cita.es (Fiscalía) | https://cita.es/aepd-quiron-fiscal-elvira-tejada.pdf | Denuncia ante la Fiscalía de Criminalidad Informática. |
| 23/09/2026 | Cita.es (AEPD) | https://cita.es/aepd-quiron-brecha-delictiva.pdf | Requerimiento formal de brecha delictiva ante la AEPD. |
La denuncia penal, presentada ante la Sección de Instrucción del Tribunal de Instancia de Madrid, se fundamenta en los siguientes hechos:
PRIMERO. Se ha tenido conocimiento de una grave brecha de seguridad que habría afectado a datos sanitarios tratados por entidades del Grupo Quirónsalud IDCQ Hospitales y Sanidad, S.L.U. (CIF B-87324844, Calle Zurbarán nº 28, 28010, Madrid), incluyendo información médica especialmente protegida. Radio Televisión Española (RTVE) ha dedicado varios minutos a la noticia de la presunta brecha de seguridad.
El programa informativo Malas Lenguas ha revelado en exclusiva los detalles de este gravísimo incidente en Quirón, que puede verse en el enlace:
Con estos detalles de la brecha tecnológica (22 de septiembre de 2026):
SEGUNDO. APEDANICA puso previamente estos hechos en conocimiento de la Agencia Española de Protección de Datos (AEPD), constando, entre otros antecedentes, el expediente EXP202508404, cuya actuación y resultado se consideran relevantes para el esclarecimiento de los hechos.
⚠️ Clarificación procesal: Debe precisarse que el expediente AEPD EXP202508404 constituye un antecedente administrativo relativo al derecho de acceso a la historia clínica de una paciente fallecida, y se cita a efectos de antecedentes de tratamiento de datos, sin que constituya por sí mismo una resolución que declare la brecha de seguridad de agosto de 2026.
TERCERO. También fue presentada denuncia ante la Fiscalía de Sala de Criminalidad Informática, registrada con número REGAGE26e00082896236, cuya copia se acompaña como Documento nº 1:
CUARTO. Asimismo se aporta como Documento nº 2 el requerimiento y denuncia previamente dirigidos a la AEPD, con documentación técnica y antecedentes adicionales (porque denunciamos presunto ENCUBRIMIENTO de sus funcionarios) en:
La denuncia solicita:
APEDANICA ha presentado ante la Agencia Española de Protección de Datos (AEPD) un recurso de reposición en el que denuncia, entre otros extremos, lo que considera dejación de funciones, lenidad y eventual encubrimiento contra la resolución de inadmisión en el Expediente N.º EXP202508404.
El recurso, dirigido al presidente de la AEPD, Lorenzo Cotino Hueso, y a la adjuntía Francisco Pérez Bes, se fundamenta en los siguientes hechos:
Documentos clave:
Como elemento de contexto sobre las medidas organizativas y de seguridad de la entidad, consta en la Memoria Oficial de la AEPD 2025 y en el Boletín Oficial del Estado la imposición de una sanción de 1.200.000 euros a IDCQ HOSPITALES Y SANIDAD, S.L.U. por infracción de los artículos 6, 9 y 25 del RGPD (Resolución PS-00288-2024).
Según la información publicada, la sanción se deriva de la destrucción de una prueba médica aportada por un paciente de otro centro médico (pérdida de un CD con resonancias magnéticas), lo que constituye una infracción del deber de conservación y seguridad de la documentación clínica.
Este antecedente sancionador no prueba por sí solo la brecha de 2026, pero fundamenta la necesidad de auditar la evolución de las medidas técnicas de protección (art. 32 RGPD) y el cumplimiento de los deberes de conservación documental (arts. 14, 17 y 19 de la Ley 41/2002).
Fuentes verificables:
Desde la perspectiva de protección de datos, la investigación deberá comprobar, entre otros extremos, el cumplimiento de:
La investigación deberá tener en cuenta los deberes de conservación y seguridad de la documentación clínica establecidos en:
La base legal para la preservación, aseguramiento y obtención de evidencia digital se encuentra en el artículo 588 octies de la Ley de Enjuiciamiento Criminal, que regula la orden de conservación de datos. Este precepto faculta al Ministerio Fiscal o a la Policía Judicial para requerir a cualquier persona física o jurídica la conservación y protección de datos o informaciones concretas incluidas en un sistema informático de almacenamiento, hasta que se obtenga la autorización judicial correspondiente para su cesión.
APEDANICA ha presentado denuncia ante la Fiscalía de Sala de Criminalidad Informática, dirigida a la Fiscal Elvira Tejada, registrada con número REGAGE26e00082896236.
URL completa:
Para que la investigación judicial sea efectiva y permita determinar forensemente la conexión entre las distintas señales documentadas, se solicitan las siguientes diligencias específicas:
«Se ordene a IDCQ Hospitales y Sanidad, S.L.U. la aportación e íntegra preservación de los correos electrónicos, notificaciones y comunicaciones remitidas a los pacientes informando de un posible incidente de seguridad, incluyendo plantillas, metadatos, fechas/horas exactas de envío, trazabilidad de servidores de correo (logs SMTP) y registros de entrega, por ser un elemento temporal determinante para fijar el momento exacto del conocimiento del incidente y el alcance reconocido por la propia entidad (arts. 33 y 34 RGPD).»
Fundamento: La noticia de RTVE afirma que pacientes afectados habían recibido un correo de IDCQ advirtiendo de un posible ataque. Si IDCQ envió comunicaciones a afectados antes de la publicación de RTVE, ello permitiría determinar cuándo tuvo conocimiento de la incidencia y cuál era la valoración inicial de su alcance. Ese dato tiene enorme relevancia temporal.
«Se libre oficio a la redacción del programa "Malas Lenguas" / RTVE para que, con pleno respeto a la protección del secreto profesional y previa la articulación de los cauces de protección judicial correspondientes, pongan a disposición de la Policía Judicial / Brigada Central de Ciberdelincuencia las muestras, correos, metadatos y archivos digitales recibidos que sustentaron la información emitida el 22 de septiembre de 2026.»
Fundamento: Esta es probablemente la diligencia técnica más importante. La muestra que recibió la redacción es el elemento material que puede permitir el cotejo forense con los sistemas de Quirónsalud.
«Se disponga la realización de una pericial informátoscópica y de cotejo entre las muestras digitales aportadas por los medios de comunicación y los esquemas de bases de datos, nomenclaturas, identificadores de paciente, códigos de pruebas y estructuras de información realmente utilizadas por IDCQ en los hospitales afectados (incluida la Fundación Jiménez Díaz), a fin de determinar técnicamente la coincidencia o divergencia con los sistemas de la entidad.»
Fundamento: El cotejo deberá determinar, en la medida técnicamente posible, si las muestras facilitadas a medios de comunicación contienen registros, identificadores, estructuras, campos, formatos, códigos internos o metadatos compatibles con las bases de datos y sistemas realmente utilizados por IDCQ y/o por los centros afectados.
«A fecha de esta actualización no se ha localizado públicamente una muestra técnica autenticada que permita atribuir de forma pericial los datos descritos periodísticamente a una base de datos concreta de IDCQ o Quirónsalud, extremo cuya comprobación se interesa mediante las diligencias solicitadas.»
Las siguientes preguntas se formulan deliberadamente sin dar por acreditada la atribución del incidente al grupo Dire Wolf, la existencia de una extorsión previa, la exfiltración de un número determinado de registros ni la procedencia de los datos difundidos por medios de comunicación. Su finalidad es obligar a la aportación de evidencia primaria (logs, hashes y registros de auditoría) por parte de los organismos y entidades implicadas.
¿En qué fecha y hora exacta tuvo entrada en la AEPD la primera comunicación, alerta perimetral, notificación de brecha o reclamación relacionada con IDCQ Hospitales y Sanidad, S.L.U. o la red Quirónsalud durante agosto o septiembre de 2026?
¿Cuál fue la fuente concreta de ese primer conocimiento: comunicación del responsable del tratamiento, Delegado de Protección de Datos, reclamación de un interesado, comunicación de otra autoridad, Policía Judicial, fuente abierta, medio de comunicación u otra?
¿Consta alguna notificación de violación de la seguridad de los datos personales presentada por IDCQ o por alguna entidad responsable de centros Quirónsalud durante agosto o septiembre de 2026? En caso afirmativo, ¿qué fecha y hora de presentación, número de registro, responsable notificante, categorías de datos afectados, categorías de interesados, número estimado de registros y descripción del incidente constan en dicha notificación?
¿Se notificó expresamente la posible afectación de datos relativos a la salud, incluidos diagnósticos, resultados de pruebas, tratamientos o información relacionada con VIH?
¿Qué medidas de seguridad comunicó IDCQ a la AEPD como existentes antes del incidente y cuáles declaró haber aplicado inmediatamente después de detectarlo? ¿Consta información sobre sistemas EDR, SIEM, antivirus, cortafuegos, IDS/IPS, autenticación multifactor, gestión de privilegios, segmentación de redes, copias de seguridad o mecanismos equivalentes?
¿Consta qué sistema, aplicación, base de datos, servidor, proveedor tecnológico o servicio fue identificado inicialmente como afectado? ¿Consta técnicamente si el incidente afectó a un único centro sanitario, a varios centros o a sistemas centralizados compartidos por distintos centros?
¿Recibió la AEPD indicadores de compromiso (IoC), direcciones IP, dominios, hashes, nombres de archivos, identificadores de malware, credenciales comprometidas, registros de autenticación o cualquier otro elemento técnico? ¿Se realizó alguna comprobación independiente de esos indicadores?
¿Consta en la AEPD alguna referencia técnica al nombre «Dire Wolf», «Direwolf» o a cualquier otro grupo de amenaza en relación con IDCQ o Quirónsalud? En caso afirmativo, ¿esa referencia procede de una fuente primaria, de una comunicación de IDCQ, de Policía Judicial, de otra autoridad, de un proveedor de ciberseguridad o de fuentes abiertas?
¿Consta alguna comprobación técnica que permita afirmar o descartar que la reivindicación pública atribuida a Dire Wolf corresponda al mismo incidente posteriormente descrito por RTVE?
¿Consta alguna comunicación a la AEPD sobre una eventual petición de rescate, extorsión, negociación, amenaza de publicación o publicación de muestras de datos? ¿Consta alguna comunicación de IDCQ indicando que hubiera recibido una demanda económica o una amenaza de publicación de información?
¿Qué metodología emplearía la AEPD para distinguir técnicamente entre una simple reivindicación de un grupo criminal, una intrusión efectiva, una exfiltración efectiva y una posterior publicación de datos? ¿Qué documentación conservaría la AEPD para acreditar la trazabilidad de cada una de esas etapas?
Respecto del expediente EXP202508404, ¿cuál es exactamente su objeto, fecha de inicio, hechos investigados y relación, si alguna, con los acontecimientos informáticos de agosto y septiembre de 2026? ¿Existe en EXP202508404 algún documento que describa una brecha informática de agosto de 2026? En caso negativo, ¿puede confirmarse expresamente que dicho expediente no constituye una resolución o constatación de la AEPD sobre la brecha informática investigada en estas diligencias?
¿Qué direcciones de correo electrónico del DPO corporativo de IDCQ constaban oficialmente registradas en la AEPD durante el período investigado, y si se ha verificado el correcto direccionamiento, recepción o eventual rechazo/rebote de notificaciones enviadas a dichas cuentas?
¿Qué comprobaciones independientes, volcados de trazabilidad informática o requerimientos de logs ha realizado la AEPD a IDCQ tras las informaciones difundidas el 22 de septiembre de 2026?
¿Qué hechos de la cronología de actuaciones de la AEPD relacionadas con IDCQ durante el período comprendido entre el 1 de agosto y el 30 de septiembre de 2026 considera documentalmente acreditados y cuáles proceden exclusivamente de manifestaciones de terceros?
¿Qué sistemas informáticos de IDCQ estuvieron potencialmente afectados durante agosto y septiembre de 2026? ¿Qué centros sanitarios utilizaban esos sistemas y qué relación existía entre sus respectivas bases de datos?
¿Qué arquitectura de red, segmentación, conexiones VPN, servicios remotos, directorios de identidad y sistemas centralizados utilizaba la infraestructura afectada?
¿Qué fecha y hora exactas corresponden al primer evento anómalo identificado retrospectivamente, a su primera detección por personal o sistemas automatizados, a su primera clasificación como incidente de seguridad, a su contención y a la recuperación o restauración de los sistemas afectados? ¿Qué fuentes técnicas permiten establecer cada una de esas fechas y horas?
¿Qué servidores, bases de datos, aplicaciones o cuentas registraron actividad anómala? ¿Se detectaron accesos desde direcciones IP, dispositivos, ubicaciones geográficas o agentes de usuario no habituales? ¿Se detectaron autenticaciones anómalas, elevación de privilegios, creación de cuentas, utilización de credenciales comprometidas o movimientos laterales?
¿Se detectaron transferencias de grandes volúmenes de información hacia destinos externos? ¿Qué sistemas registraron esas transferencias y durante cuánto tiempo se conservarán los registros correspondientes? ¿Qué volumen de datos fue efectivamente extraído, si puede determinarse, y qué método de cálculo se utilizó?
¿Puede identificarse la estructura de los datos supuestamente extraídos? ¿Existen identificadores, códigos internos, nombres de campos, tablas, formatos, nomenclaturas o metadatos que permitan relacionar una eventual muestra externa con los sistemas de IDCQ?
¿Se detectaron accesos a información relativa a pacientes atendidos en la Fundación Jiménez Díaz? ¿Qué aplicaciones contienen la información clínica de dichos pacientes? ¿Qué controles de acceso y registros de auditoría existen sobre dichas aplicaciones?
¿Puede determinarse qué cuentas consultaron, exportaron, modificaron o eliminaron información clínica durante el período investigado? ¿Se detectó alguna exportación masiva o anómala durante los días 9, 10 y 11 de agosto de 2026?
¿Se realizó una imagen forense de los sistemas afectados? ¿Quién realizó dicha adquisición, en qué fecha y mediante qué procedimiento? ¿Se calcularon hashes criptográficos de las imágenes, archivos y evidencias adquiridas? ¿Se documentó la cadena de custodia de esas evidencias?
¿Se recibieron comunicaciones de terceros que atribuyeran el incidente a Dire Wolf o a cualquier otro grupo? ¿Se recibió alguna demanda económica, amenaza de publicación o comunicación de extorsión? En caso afirmativo, ¿qué fecha y hora consta en cada comunicación? ¿Se conservaron los originales, cabeceras, archivos adjuntos, metadatos y registros de acceso de dichas comunicaciones?
¿Se comunicó a los pacientes algún incidente de seguridad? ¿Qué versión exacta de la comunicación fue utilizada? ¿Qué fecha y hora tienen los envíos? ¿A qué destinatarios fueron enviados? ¿Qué sistema generó los envíos? ¿Qué criterios determinaron qué pacientes recibieron la comunicación? ¿Se conservaron los registros de entrega, rebote y apertura, cuando técnicamente existan?
¿Qué medidas técnicas de bloqueo cautelar se han aplicado a los servidores de bases de datos para evitar la sobreescritura automatizada de los registros de acceso (access logs) y de transacciones, conforme al artículo 588 octies de la LECrim?
¿Qué datos concretos fueron entregados o mostrados a la redacción de RTVE antes de la emisión o publicación del reportaje de 22 de septiembre de 2026? ¿Quién entregó esos datos a RTVE, si puede determinarse? ¿En qué fecha y hora fueron recibidos por RTVE? ¿En qué formato fueron recibidos?
¿Conserva RTVE los archivos originales, correos electrónicos, cabeceras, metadatos, documentos adjuntos y registros técnicos relacionados con esa recepción? ¿Puede determinarse si alguna muestra recibida por RTVE contiene estructuras, identificadores, nomenclaturas o formatos coincidentes con sistemas de IDCQ?
¿Puede calcularse el hash de las muestras originales conservadas por RTVE? ¿Puede realizarse un cotejo técnico entre esas muestras y una copia forense obtenida directamente de los sistemas de IDCQ? ¿Qué porcentaje de coincidencia sería técnicamente significativo para atribuir procedencia?
¿Existen metadatos que permitan determinar cuándo fueron creados, modificados, comprimidos, exportados o transferidos los archivos?
¿Existe actualmente una copia verificable del supuesto conjunto de 160.181 registros atribuido a Quirónsalud? ¿Cuál es la fuente primaria de esa cifra? ¿Puede identificarse la URL exacta, identificador, fecha de publicación y operador del repositorio que habría mostrado esa cifra?
¿Existe una copia íntegra o imagen forense del supuesto conjunto de datos? ¿Quién obtuvo inicialmente esa copia? ¿Qué hash presenta?
¿Puede verificarse que los 160.181 registros sean registros distintos y no duplicados, filas técnicas, índices, metadatos u otra unidad de conteo? ¿Qué campos contiene cada registro?
¿Qué proporción de los registros puede ser atribuida técnicamente a IDCQ? ¿Qué proporción contiene datos relativos a salud? ¿Puede determinarse si alguno contiene datos de pacientes de la Fundación Jiménez Díaz?
¿Existe evidencia técnica que permita vincularlo con los acontecimientos de 9-11 de agosto de 2026? ¿Existe evidencia técnica que permita vincularlo con la reivindicación pública atribuida a Dire Wolf? ¿Existe evidencia técnica que permita vincularlo con la información entregada a RTVE? Si ninguna de esas conexiones puede demostrarse actualmente, ¿qué diligencias serían necesarias para poder comprobarlas?
¿Qué registros deben preservarse inmediatamente para evitar su sobreescritura? ¿Cuál es el período de retención de cada clase de log? ¿Qué sistemas ya han superado o están próximos a superar su período ordinario de retención? ¿Se ha aplicado alguna medida de conservación extraordinaria?
¿Quién tiene actualmente acceso administrativo a los registros potencialmente relevantes? ¿Se ha producido alguna modificación, rotación, eliminación o migración de dichos registros desde el conocimiento del incidente?
¿Puede acreditarse mediante registros quién accedió a las evidencias después de su adquisición? ¿Qué algoritmo hash se empleó? ¿Qué procedimiento de adquisición garantiza que la copia forense sea reproducible y verificable? ¿Se conservaron los originales sin alteración? ¿Existe documentación de cadena de custodia desde la primera adquisición hasta su eventual entrega judicial?
¿Qué hechos considera técnicamente acreditados mediante evidencia primaria? ¿Qué hechos proceden únicamente de declaraciones de IDCQ, de pacientes, de medios de comunicación o de fuentes abiertas? ¿Qué hechos proceden de reivindicaciones de terceros cuya autenticidad no ha sido comprobada?
¿Puede afirmarse técnicamente que la reivindicación atribuida a Dire Wolf corresponde al mismo incidente que afectó a los pacientes posteriormente entrevistados por RTVE? En caso afirmativo, ¿qué evidencia primaria permite establecer esa identidad? En caso negativo, ¿qué extremos permanecen abiertos?
¿Puede afirmarse técnicamente que existió exfiltración de datos desde sistemas de IDCQ? En caso afirmativo, ¿qué evidencia primaria lo demuestra y qué volumen se ha podido determinar?
¿Puede afirmarse técnicamente que los datos mostrados o comunicados a RTVE procedían de IDCQ? En caso afirmativo, ¿qué elementos permiten establecer su procedencia?
¿Puede determinarse si existió una petición económica o amenaza de publicación previa a la difusión periodística? En caso afirmativo, ¿qué evidencia primaria documenta esa comunicación? ¿Puede establecerse una relación temporal y técnica entre dicha comunicación, una eventual exfiltración y la posterior difusión periodística?
¿Qué afirmaciones de la información publicada en fuentes abiertas no pueden ser actualmente verificadas mediante evidencia primaria? ¿Qué diligencias adicionales consideran técnicamente necesarias para confirmar o descartar las hipótesis actualmente abiertas?
| Documento | URL Completa | Fecha |
|---|---|---|
| Denuncia Penal Matriz (texto íntegro) | https://www.miguelgallardo.es/aepd-quiron-denuncia.pdf | 22/09/2026 |
| Denuncia Penal Matriz (copia firmada) | https://cita.es/aepd-quiron-denuncia-firmado.pdf | 22/09/2026 |
| Justificante de Registro Judicial | https://cita.es/aepd-quiron-denuncia-registro.pdf | 22/09/2026 |
| Denuncia ante Fiscalía de Criminalidad Informática | https://cita.es/aepd-quiron-fiscal-elvira-tejada.pdf | 23/09/2026 |
| Requerimiento formal ante la AEPD | https://cita.es/aepd-quiron-brecha-delictiva.pdf | 23/09/2026 |
| Recurso de Reposición ante la AEPD | https://cita.es/aepd-quiron-repone-firmado.pdf | 22/09/2026 |
| Resolución de inadmisión de la AEPD (EXP202508404) | https://cita.es/aepd-quiron-reponible-denunciable.pdf | — |
| Documento | URL Completa |
|---|---|
| Solicitud de datos sanitarios a Quirón y FJD | https://cita.es/quironsalud-fjd.pdf |
| Historial clínico proporcionado por ADESLAS | https://cita.es/historial-adeslas.pdf |
| Demanda de nulidad de testamento | https://miguelgallardo.es/demanda-nulidad-testamento.pdf |
| Informe pericial de parte (José Antonio Serra Rexach) | ANEXO CONFIDENCIAL-CONTRAPERITABLE.pdf (no publicado) |
La evidencia pública actualmente disponible permite construir una cadena sólida de «reivindicación criminal pública del 10 de agosto → múltiples indexaciones o reproducciones en fuentes abiertas → información especializada contemporánea → reportaje de RTVE del 22 de septiembre», pero todavía no permite afirmar jurídicamente que Dire Wolf haya sido quien entregó los datos a Malas Lenguas, ni siquiera que la reivindicación de agosto corresponda necesariamente al incidente clínico descrito por RTVE.
Precisamente esa posible conexión es una de las cuestiones que la ampliación debería pedir que se investigue mediante preservación de logs, comunicaciones de extorsión y trazabilidad de las muestras que llegaron a la redacción.
APEDANICA actúa como perito de parte y asesor de perjudicados, sin constituirse en parte procesal. Toda la documentación aquí publicada tiene como finalidad coadyuvar a la investigación judicial y a la protección de los derechos de los afectados.
Última actualización: 24 de septiembre de 2026, 08:35 horas.