Seguro de ciberseguridad · Riesgos Cibernéticos de Sancor Seguros
Un prestador de salud no sólo atiende pacientes: custodia sus historias clínicas, sus estudios y sus turnos, muchas veces en un sistema que aloja otro. Si un ransomware apaga tu red un lunes, no hay agenda ni historia que consultar; si se la lleva, se filtran datos de salud, de los más sensibles. Esta póliza responde por el forense, la recuperación de datos, los abogados, el aviso a tus pacientes, la utilidad que dejás de ganar con tu red caída y sus reclamos; el acto profesional sigue siendo de la mala praxis. No hay tarifa pública: como referencia, Sancor le cotizó a Farello el 19/10/2026 USD 553 al año por USD 50.000 de suma asegurada, sin IVA ni IIBB. El tuyo lo cotiza Sancor con un formulario de 9 preguntas por SI o NO que llenás en nuestra web.
› Pedido de cotización formal · el precio lo fija Sancor para cada prestador · en todo el país
En una frase: el seguro de ciberseguridad para consultorios, clínicas, centros de diagnóstico y laboratorios (Riesgos Cibernéticos, de Sancor Seguros) cubre lo que deja un ataque informático en un prestador de salud: los reclamos de pacientes por datos filtrados, los días sin poder atender ni facturar porque un ataque tiró la red del centro, y los costos de responder, desde el perito forense y la recuperación de las historias hasta el aviso a cada paciente. No cubre el error en la atención, que es mala praxis, ni las lesiones. Se cotiza con un formulario de 9 preguntas y no hay tarifa pública.
Del turno a la factura
La consulta dura media hora; los datos que genera duran años. Cada paso de la atención deja algo en un sistema, y casi todo es información que la ley trata como sensible.
Diagnósticos, tratamientos, medicación, antecedentes. Es del paciente y vos la custodiás, y la ley te pide conservarla al menos diez años desde la última anotación. Un ataque que la cifra o se la lleva toca las dos cosas a la vez.
Radiografías, tomografías, ecografías y análisis, que pesan mucho y suelen vivir en el sistema de un proveedor especializado. En 2025, el ataque a uno de esos proveedores expuso estudios de unas 30 clínicas a la vez (lo contamos abajo).
Es el corazón operativo: sin agenda no se sabe quién viene, a qué hora ni con qué estudio. Es lo primero que se nota cuando el sistema cae, y lo que más tarda en reconstruirse a mano.
Validaciones, autorizaciones, órdenes y prestaciones que se cobran después. Si el sistema que las valida se cae, el prestador sigue atendiendo pero deja de poder cobrar, como les pasó a las farmacias en 2023.
Donde llegan resultados, órdenes, fotos de credenciales y consultas de pacientes. Una casilla tomada es una puerta a todo eso, y una forma de escribirles a los pacientes con el nombre del centro.
La PC conectada a un equipo médico, como un ecógrafo, la de la recepción que se usa desde hace años, el servidor en un placard. Las que «no se actualizan porque si se tocan dejan de andar» son las que el formulario pregunta en el punto 4.
Ley 26.529 y Ley 25.326
Ninguna ley obliga a un prestador a contratar un seguro de ciberseguridad. Lo que la ley sí hace es ponerlo a cargo de la historia clínica, con reglas que en un sistema informático se traducen en contraseñas, accesos y copias.
Ley 26.529, derechos del paciente
Ley 25.326, datos personales
Y la Ley 27.706 avanzó hacia la historia clínica electrónica unificada, también en clínicas privadas: cada vez habrá menos papel y más sistema que cuidar.
En criollo: si se filtra una historia clínica, no es sólo «un problema de sistemas». Fuentes: Ley 26.529 y Ley 25.326 en argentina.gob.ar; sobre la Ley 27.706, el comentario de abogados.com.ar.
Un caso armado para ver la póliza trabajando
No es un caso real, aunque se parece mucho a los reales que contamos más abajo. Lo armamos para mostrar, hora por hora, qué amparo de la cotización de Sancor responde y qué queda afuera.
La recepción enciende la computadora y la agenda no abre. Los archivos tienen otra extensión y hay un mensaje que pide un rescate. A las 8:00 llegan los primeros pacientes.
Qué hacer: desconectar de la red los equipos afectados sin apagarlos, fotografiar el mensaje con el celular, atender con lo que haya en papel y llamar a la línea 0800 de asistencia de la póliza, que Sancor presenta con atención 24/7 de especialistas en tecnología y en lo legal.
Responde el amparo C: el forense que averigua por dónde entraron, la recuperación de los datos y, con el consentimiento de la aseguradora, la extorsión cibernética.
Se cumplen 12 horas. Las consultas que no se pudieron dar y las prácticas que no se pudieron facturar empiezan a contar para la interrupción del negocio.
Responde el amparo B: la utilidad bruta perdida y los gastos para seguir atendiendo, desde que termina la espera de 12 horas y hasta 180 días desde que empezó la caída, con el deducible descontado.
El proveedor del sistema de historias clínicas avisa que también fue alcanzado y que la restauración «lleva días». El centro depende de él para todo.
Acá la cotización importa. La caída de tu propia red está cubierta; la del proveedor, depende. El condicionado general de Sancor contempla la caída del proveedor en la nube con contrato, pero en nuestra propia cotización las condiciones particulares la dejan afuera. Si tu centro depende de un sistema alojado, pedila expresamente al cotizar y leé esa cláusula: la explicamos en condiciones particulares. Aun con ella, la quiebra del proveedor no entra (3.6), ni un corte de internet o de luz fuera de tu control (3.4).
Algunos pacientes reciben un mail del atacante con un estudio suyo adjunto. La noticia llega a un grupo de WhatsApp del barrio.
Responde el amparo A por los reclamos de los pacientes (la cotización aclara que el daño moral por un evento de datos sí entra), y el C por la notificación a pacientes y autoridades, la representación legal, las relaciones públicas y el monitoreo de crédito.
Nadie entró: la secretaria borró por error la agenda del mes y no hay copia reciente.
La cotización también cuenta el error de operador, el borrado o la modificación accidental de datos por parte de un empleado, como evento cibernético. La recuperación de datos entra en el amparo C.
El ataque y el acto profesional
Son dos pólizas que se miran desde lejos. La mala praxis responde por lo que pasa entre el profesional y el paciente; ésta, el seguro cibernético, por lo que le pasa al sistema donde están los datos del paciente. La cotización de ciberseguridad lo marca con dos exclusiones: la falla en la prestación de servicios profesionales (3.17) y la muerte o las lesiones (3.1).
El acto profesional
Lo cubre la mala praxis de cada profesional, y la institución tiene la suya. En Farello cotizamos el seguro de mala praxis para profesionales de la salud, por ejemplo para odontólogos o bioquímicos.
El evento cibernético
Cuando se tocan
El estudio que no se pudo ver a tiempo porque el sistema estaba caído, y un paciente que dice que eso le causó un daño. Hay un ataque y hay un acto profesional; y si hay lesiones, esta póliza las excluye. No lo damos por cubierto de antemano en ninguna: se avisa a las dos aseguradoras y se lee el caso.
La cotización de Sancor, leída desde un consultorio
Los cuatro amparos de la cotización del 19/10/2026, con ejemplos de salud. La letra completa, con definiciones, en qué cubre y qué no el seguro de ciberseguridad.
Los reclamos de pacientes por pérdida, robo o uso indebido de sus datos personales bajo tu responsabilidad, incluido el daño moral por un evento de datos. También el reclamo de un tercero si tu red se usó para propagar malware, y lo que el centro publica en internet.
Los días sin poder atender o facturar porque un evento cibernético tiró la red del centro. Utilidad bruta perdida y gastos para seguir, después de 12 horas y hasta 180 días, y el daño a la reputación que derive. La caída del proveedor en la nube la contempla el condicionado general, pero nuestra propia cotización la dejó afuera por condición particular: si dependés de un sistema alojado, pedila expresamente.
Forense, recuperación de datos (con licencias de reemplazo), extorsión cibernética con consentimiento de la aseguradora, representación legal, relaciones públicas, monitoreo de crédito y la notificación a pacientes y autoridades, que en salud es la parte más delicada.
Para quien cobra con tarjeta en un sistema propio y sufre un incidente que expone esos datos. Si el centro cobra copagos o particulares por su sitio, el detalle está en la página Seguro de ciberseguridad para tiendas online y comercios con tarjeta.
Dicho con la misma claridad
De las 17 exclusiones de la cotización, éstas son las que más se cruzan con un prestador de salud. Todas, explicadas, en qué cubre y qué no.
Lo que pregunta el formulario
El reasegurador pide las 9 en SI. Un NO no impide mandar el pedido, pero conviene saber cuál es y cómo resolverlo. En salud, éstas tres son las que más cuestan. Respondé SI sólo si hoy lo hacés: es una declaración jurada.
Si el sistema es tuyo, la copia que queda en el mismo servidor no sirve: un ransomware la cifra junto con el original. Si el sistema es de un proveedor en la nube, la pregunta pasa a ser dónde está su copia y si podrías llevarte tus datos si mañana deja de existir.
Cómo pasarla a SI: una copia automática, otra fuera del centro y una desconectada; probar que se restaura; y al proveedor, pedirle por escrito cómo y dónde respalda, y cómo exportás tus historias. Paso a paso de la pregunta 5.
Es la casilla donde llegan resultados, órdenes y consultas de pacientes, y donde se pide una nueva contraseña de casi todo lo demás. Si está en Google Workspace o en Microsoft 365 y se entra sólo con la contraseña, la pregunta queda en NO.
Cómo pasarla a SI: activar la verificación en dos pasos para toda la organización, no sólo «permitirla», y preferir una app o una llave antes que el SMS. Paso a paso de la pregunta 8.
La computadora de la recepción con un sistema viejo, la que maneja un equipo médico y nadie actualiza. Explotar fallas conocidas y no corregidas pasó a ser la puerta de entrada más común: el 31 % de las brechas que analizó Verizon en su informe de 2026.
Cómo pasarla a SI: actualizaciones automáticas, un recordatorio fijo semanal y, para el equipo que no se puede actualizar, sacarlo de internet. Paso a paso de la pregunta 4.
Dato de la pregunta 4: Verizon, Data Breach Investigations Report 2026. Y uno más que explica por qué la prevención importa tanto como el seguro: según Sophos, sólo 1 de cada 3 organizaciones de 100 a 5.000 empleados logró frenar un ataque de ransomware antes de que cifrara sus datos (State of Ransomware 2026).
Lo que ya pasó, con fecha y fuente
En el informe anual 2024 de la Unidad Fiscal Especializada en Ciberdelincuencia (UFECI), el 57 % de los ransomware que llegaron a esa fiscalía apuntó a organismos públicos, salud, energía y comunicaciones (informe UFECI 2024). Estos son los casos verificados de salud en Argentina y uno del mundo que todo prestador debería conocer.
20 de noviembre de 2024 · clínicas y laboratorios
Un ransomware cifró el servidor que compartían los tres centros. Pidieron un rescate millonario y las clínicas decidieron no pagar; dijeron no tener indicios de datos personales comprometidos. Catorce días después, todos los laboratorios Hidalgo seguían sin atención; en Stamboulian funcionaba sólo vacunación, con laboratorio, call center y turnos caídos; en Rossi, portal de turnos caído y varios estudios suspendidos.
Qué hubiera respondido: el amparo B por las semanas de atención perdida y el C por el forense y la recuperación. Los especialistas consultados después recomendaron copias físicamente separadas de los datos y un plan de recuperación: es lo que pregunta el punto 5 del formulario.
Fuentes: La Nación, 04/12/2024; Forbes Argentina, 04/12/2024.
Marzo y abril de 2025 · proveedor de imágenes
El ataque a InformeMedico, un proveedor cordobés que digitaliza radiografías, tomografías, ecografías y análisis, terminó con 665.128 estudios de pacientes ofrecidos en foros. No cifraron nada: copiaron y pidieron dinero. Unas 30 clínicas y sanatorios de varias provincias quedaron afectados, con datos de pacientes y profesionales expuestos.
Qué hubiera respondido: en cada clínica, el amparo A por los reclamos de pacientes y el C por la notificación y la defensa. La falla fue del proveedor, no de las clínicas: por eso conviene pedirle por escrito cómo cuida los datos.
Fuentes: Perfil, 04/04/2025; Segu-Info, 06/04/2025.
Mayo de 2023 · también en Mendoza
Un ataque extorsivo a la empresa que administra el sistema de validación en línea dejó a farmacias de todo el país sin poder validar ni aplicar descuentos de varias obras sociales y prepagas. Se dispensó a mano, con el paciente pagando y pidiendo reintegro. Cuatro días después seguía el problema; en Mendoza hubo muchos reclamos.
La lección: el prestador no fue atacado y aun así no pudo cobrar. Es la caída del proveedor que el condicionado general de Sancor contempla y que nuestra propia cotización deja afuera por condición particular: si dependés de un sistema así, pedila expresamente al cotizar.
Fuentes: Diario UNO, 16/05/2023; iProfesional, 17/05/2023.
Marzo y abril de 2026 · Mendoza
Un grupo anunció a fines de marzo una filtración contra al menos 17 instituciones. OSEP primero dijo no detectar accesos indebidos y después confirmó el robo de datos filiatorios, sin afectar servicios médicos ni farmacia, y advirtió sobre falsos gestores. La nota describe contraseñas robadas a usuarios con equipos infectados; la cifra de 56 millones de datos es nacional y la dio el grupo.
Lo que suele fallar en estos casos (las fuentes no dicen cómo entraron a OSEP): contraseñas robadas que siguen sirviendo y cuentas sin segundo factor, las preguntas 6 y 8 del formulario.
Fuentes: Diario UNO, 05/04/2026; Sitio Andino, 06/04/2026.
Agosto de 2023 · organismo grande
Un ransomware se llevó más de 1,6 millones de archivos (831 GB) con presupuestos, historias clínicas, estudios y DNI de afiliados. Es un organismo enorme, lejos de una pyme; lo contamos por el tipo de dato que se filtró.
Fuente: Perfil, 18/09/2023.
Junio y agosto de 2022 · prepaga
OSDE confirmó un incidente de seguridad el 27/06/2022. En agosto, el grupo LockBit publicó información que, según el grupo, eran unos 140 GB con historias clínicas, estudios y datos de afiliados, después de pedir USD 300.000. El volumen y el motivo de la publicación son dichos del grupo, no confirmados por OSDE.
Fuente: WeLiveSecurity (ESET), 12/08/2022.
Febrero de 2024 · Estados Unidos
Se cayó el gran sistema de pagos y facturación de la salud de Estados Unidos: farmacias y clínicas no podían procesar cobros y algunas les cobraron el precio completo a los pacientes. Los atacantes entraron por un portal de acceso remoto sin segundo factor, con credenciales robadas: lo admitió el CEO de UnitedHealth ante el Congreso. Su informe anual de 2024 cuenta USD 2.200 millones de costos de respuesta y USD 867 millones de impacto por la interrupción.
En un prestador argentino: el espejo es depender de un sistema ajeno para facturar a obras sociales y prepagas. Y la puerta fue la de la pregunta 7: acceso remoto con una sola contraseña.
Fuentes: UnitedHealth, informe 10-K 2024; Healthcare Innovation, testimonio del 01/05/2024.
Más casos, ordenados por lo que le pueden hacer a una pyme, en casos reales de ciberataques. Y la pregunta que dejan: si esto le pasa a tu consultorio un lunes, quién te atiende el martes.
Pedido de cotización formal
No hay tarifa pública: el precio lo fija Suscripción de Sancor para cada centro, con la facturación, la suma asegurada y las respuestas del formulario. Esta página te lleva al Chequeo de ciberseguridad de la página principal, con tu actividad ya cargada.
Nueve preguntas de SI o NO, las del formulario de Sancor. Cada NO viene con una tarjeta que explica cómo pasarlo a SI. El producto es para prestadores que facturan hasta USD 5.000.000 por año, con sumas de USD 50.000 a USD 1.500.000.
Con los datos del centro y tu contacto armamos el pedido para Sancor. Si Suscripción pide aclaraciones sobre alguna respuesta, te las trasladamos.
Con precio, deducible y condiciones. Si la aceptás, comienza el proceso de emisión. Nuestro dato propio: Sancor nos cotizó en 6 días, del 13 al 19/10/2026; no lo tomes como promesa de plazo.
Pedir cotización: consultorio › Clínica o centro de diagnóstico › Laboratorio ›
Preguntas frecuentes
No es lo que cubre. La mala praxis responde por el reclamo de un paciente por un acto profesional: un diagnóstico, un tratamiento, un informe. Un ataque informático que cifra la agenda o filtra historias clínicas es otro riesgo, y es el que cubre el seguro de ciberseguridad. A su vez, la cotización de ciberseguridad excluye la falla en la prestación de servicios profesionales (3.17) y las lesiones (3.1): por eso son dos pólizas que se complementan.
Los reclamos de los pacientes por la pérdida, el robo o el uso indebido de sus datos personales bajo tu responsabilidad entran en el amparo A, y la cotización aclara que el daño moral por un evento de datos sí entra. El amparo C paga los costos de responder: el forense, la notificación a los pacientes y a las autoridades, la representación legal, las relaciones públicas y el monitoreo de crédito. Cubre la reclamación presentada por primera vez durante la vigencia, por eventos ocurridos desde la fecha de retroactividad; en nuestra cotización esa fecha es el inicio de la vigencia, así que nada anterior al primer día de la póliza está cubierto.
Depende de tu cotización, y conviene leerlo antes de contratar. El condicionado general de Sancor contempla la caída del proveedor en la nube con contrato escrito por un evento cibernético; en nuestra propia cotización, las condiciones particulares la dejan afuera, porque limitan el evento cibernético y la paralización a la red propia del asegurado. Si tu centro depende de un sistema alojado, pedila expresamente al cotizar y leé esa cláusula en tu cotización: la explicamos en la página de qué cubre. Lo que sí queda en la cotización es la caída de tu propia red, después de 12 horas de espera y hasta 180 días. Y aun con la cláusula, no entra la quiebra del proveedor (3.6) ni un corte de internet o de luz fuera de tu control (3.4).
La Ley 25.326 no tiene una obligación expresa y general de notificar un incidente. Pero la autoridad de datos ya sancionó a una empresa por no avisarles a sus clientes, y la Ley 26.529 te pone como depositario de la historia clínica. En la práctica conviene avisar, con un texto claro y después de hablar con la aseguradora y con un abogado: la notificación a los afectados es uno de los costos que paga el amparo C.
El producto es para pymes que facturan hasta USD 5.000.000 por año, así que en principio un consultorio entra; si Sancor suscribe la actividad lo define el formulario (hay actividades que no suscribe). Lo que conviene mirar es la escala: la suma mínima es USD 50.000 y la póliza tiene un deducible por evento que fija cada cotización (en la nuestra fue de USD 15.000), así que un incidente chico puede quedar dentro del deducible. Donde más pesa es en el golpe grande: semanas sin agenda o una filtración de historias clínicas.
No hay tarifa pública: Sancor fija el precio para cada prestador según la facturación, la suma asegurada y las respuestas del formulario de 9 preguntas. Como referencia propia, a Farello (intermediación de seguros, facturación menor a USD 50.000) le cotizó el 19/10/2026 USD 553,19 al año sin IVA ni IIBB por USD 50.000 de suma asegurada, en 10 cuotas, sujeto a confirmar la política de contraseñas y todavía sin emitir. No es el precio de tu centro: es una referencia con fecha.
Hacé el Chequeo de ciberseguridad con tu actividad ya cargada: lo que quede en NO te lo explicamos, y el pedido viaja a Sancor como cotización formal. Te atiende una persona del equipo.