Brecha de seguridad del BANCO HIPOTECARIO DEL URUGUAY, datos medicos y la crisis digital.

¿Pueden los jerarcas de un banco estatal decidir mediante un decreto de reserva que tus datos de salud queden bajo su control y en el secreto por 15 años?

En este video podcast de análisis e investigación forense, desglosamos el hallazgo más delicado y crítico tras auditar la filtración masiva de 700 GB del grupo cibercriminal Crypto24 al Banco Hipotecario del Uruguay (BHU): la presencia de fichas médicas, certificados de aptitud física y evaluaciones de salud del Club Banco Hipotecario (CBH) alojados sin cifrado en carpetas compartidas de la red del banco (\\Server\Comun\...).

• 🧬 El Hallazgo de Datos Médicos: Cómo información de salud e historias clínicas terminaron expuestas en la dark web junto a escrituras, recibos de sueldo y deudas crediticias.
• ⚖️ El Conflicto de Derechos: El choque entre el decreto de reserva confidencial por 15 años aprobado por el Directorio del BHU y el régimen de protección de datos sensibles (Ley N° 18.331, Art. 9 y 14 / GDPR Art. 9).
• ⏱️ La Guillotina de 5 Días: Las intimaciones formales de derecho de acceso enviadas al BHU y al Club BHU con plazo legal perentorio.
• 🚫 El Rebote Técnico (SMTP 550): La insólita respuesta de los servidores de correo de la URCDP (AGESIC) al rebotar la denuncia formal, perfeccionando la denegatoria ficta y la mala fe administrativa.
• 🏛️ Escalada Transnacional: La denuncia ante la INDDHH en Uruguay y la Segnalazione ex Art. 144 radicada ante el Garante Privacy en Roma, poniendo en riesgo la adecuación de datos de Uruguay ante la Unión Europea.

Can state bank executives enforce a 15-year secrecy decree over your sensitive health records leaked on the dark web?

In this video podcast briefing, we analyze the critical revelation inside the 700 GB Crypto24 ransomware data dump at Banco Hipotecario del Uruguay (BHU): unencrypted health assessments, medical clearance files, and physical fitness certificates from Club Banco Hipotecario (CBH) sitting exposed on open bank network shares (\\Server\Comun\...).

• 🏋️ Exposed Health Records: How routine sports club medical files were exfiltrated alongside mortgages, property titles, and payrolls.
• 🛡️ Secrecy Decrees vs. Human Rights: Why state secrecy resolutions cannot override statutory privacy guarantees under Law N° 18.331 and GDPR Article 9.
• ⏱️ The 5-Day Statutory Clock: Serving formal Article 14 data access demands to BHU and Club BHU.
• 🚫 Connection Refused (SMTP 550): The official regulatory complaint to URCDP/AGESIC bouncing back, establishing technical obstruction and administrative bad faith (denegatoria ficta).
• 🇮🇹 Rome & Transnational Escalation: Filing a formal complaint before Italy’s Garante Privacy (Art. 144) and the Italian Embassy, threatening Uruguay's EU Data Adequacy status.

• 00:00 — Introducción: La brecha de 700 GB y el hallazgo en el Club BHU
• 02:15 — Datos sensibles de salud expuestos en carpetas compartidas
• 05:40 — ¿Tienen jerarcas bancarios la potestad de ocultar tu información médica?
• 09:10 — Intimaciones de 5 días hábiles al BHU y CBH
• 12:30 — El servidor rebotado: Error SMTP 550 en la URCDP (AGESIC)
• 15:45 — Escalada a Roma (Garante Privacy) e intervención de la INDDHH

• Investigación & Conducción: Alberto Daniel Hill
• PGP Key ID: 0xA1406A6E117EF283
• Fingerprint: 6B33 A7C8 E94B 8D9C 4E54 03DE A140 6A6E 117E F283

#CasoBHU #Ciberseguridad #DatosSensibles #DerechosDigitales #Uruguay #GDPR #HabeasData #TransparenciaYa

🇪🇸 Descripción en Español (Principal)📌 Puntos clave de este episodio:🇬🇧 English Description (Alternative / Bilingual)📌 Episode Highlights:⏱️ Marcas de Tiempo (Timestamps)🔑 Firma PGP & Registro Público