El Hospital Hermilio Valdizán de Lima, Perú, figura en ransomware.live bajo una reivindicación de RansomHouse detectada el 1 de octubre de 2026. El registro constituye una atribución del grupo, no una confirmación independiente de intrusión, extracción de información o interrupción de la atención. En las fuentes oficiales consultadas para esta revisión no se encontró un comunicado que confirmara esos efectos.
La fecha del registro no es la fecha del ataque
La tarjeta del hospital en el listado de Perú de ransomware.live distingue la detección del 1 de octubre y una fecha estimada de ataque del 21 de agosto de 2026. Esta última es una estimación de la fuente y no se presenta aquí como fecha confirmada. La publicación original de la reivindicación no pudo verificarse. El acceso a la ficha individual enlazada por la fuente estuvo limitado durante esta revisión.
La noticia corresponde, por tanto, a un registro incorporado en octubre sobre un posible hecho anterior. No se informa de un ataque ocurrido hoy ni se interpreta una posterior republicación de la misma reivindicación como un incidente nuevo.
El dominio indicado es hhv.gob.pe, sitio institucional del hospital. Su documentación institucional lo identifica como un establecimiento público especializado en salud mental de Lima. No debe confundirse con el Hospital Regional Hermilio Valdizán Medrano de Huánuco. La identificación de la entidad no demuestra qué sistemas o categorías de información podrían estar involucrados.
Qué se conoce de RansomHouse
Una investigación técnica original de Unit 42 describe RansomHouse como una operación de ransomware como servicio, asociada al actor que ese equipo denomina Jolly Scorpius. Documenta el cifrador Mario y la herramienta MrAgent en operaciones orientadas a infraestructura virtualizada. Son nombres de una operación, un actor seguido por un proveedor y herramientas, respectivamente; no identifican automáticamente a quien habría ejecutado este caso.
La investigación analiza el cifrado de archivos vinculados con máquinas virtuales y respaldos. Ese comportamiento puede mapearse analíticamente a T1486, Data Encrypted for Impact. Se trata de una relación basada en la función descrita del software, no de una observación forense del hospital. No hay evidencia suficiente para afirmar que allí se utilizó Mario, MrAgent o una plataforma de virtualización determinada.
Al consultar los catálogos de grupos y software de MITRE ATT&CK no se verificó un perfil propio para RansomHouse ni para las herramientas citadas. Por esa razón no se asignan identificadores G o S. La descripción técnica anterior procede de Unit 42 y se mantiene separada de lo conocido sobre esta reivindicación.
Qué controles conviene comprobar
Restauración verificable. MITRE vincula T1486 con M1053, Data Backup: disponer de copias fuera del sistema y probar su recuperación. Para una organización, esto significa ensayar la restauración de un servicio prioritario, proteger las credenciales del respaldo y comprobar que las copias sigan disponibles si falla el entorno principal. El artículo sobre respaldos resistentes al ransomware explica cómo llevar esa revisión a decisiones de negocio.
Accesos administrativos protegidos. Como medida general, independiente de este caso, T1078, Valid Accounts tiene entre sus mitigaciones M1032, Multi-factor Authentication. Revisar el segundo factor y las cuentas con privilegios es una comprobación concreta; no implica que una credencial comprometida haya sido el acceso inicial del hospital.
Para empresas chilenas, la recomendación de gestión es acordar qué operación debe recuperarse primero, quién valida el resultado y cómo se comunicará una interrupción. Es una lección preventiva, no evidencia de impacto local. La publicación de un nombre en un sitio de extorsión exige verificar y seguir fuentes institucionales, sin dar por afectados a pacientes ni reproducir supuestos datos robados.
