La comunicación oficial del Pami sobre las acciones de resguardo de la información de sus servidores informáticos tras el ciberataque de 2023 no tuvo efecto alguno en un cordobés de 18 años: desde su casa, habría comprado datos filtrados para fabricar recetas médicas falsas a cambio de pagos en criptomoneda o en dinero.
De esta manera, consumó una serie de defraudaciones a la obra social pública más grande de Latinoamérica, que brinda servicios a la clase pasiva.
Poco antes de la feria judicial, el juez federal N° 1 de Córdoba capital, Carlos Ochoa, firmó el procesamiento con prisión preventiva de Tiziano Palacios Arriondo (hoy, de 20 años) por presunto encubrimiento agravado de daño informático, falsificación de recetas médicas, defraudación doblemente calificada (por uso de técnicas de manipulación informática y en perjuicio de una administración pública) y facilitación de estupefacientes a título oneroso.
La causa “madre”: el hackeo de Rhysida al Pami
El reciente fallo tuvo un impacto “nacional”, ya que permitió al Pami (como querellante) solicitar la reapertura de la causa original, radicada en Buenos Aires, que había sido cerrada al no poder individualizarse a los autores del hackeo.
La causa original, referida al ataque informático del 2 de agosto de 2023, se abrió a partir de la denuncia del fiscal federal de la Unidad Fiscal para la Investigación de Delitos Cometidos en el Pami, Javier Arzubi Calvo. Advirtió la existencia de un virus informático (ransomware) en los sistemas del organismo, que provocó la interrupción de la prestación del servicio y de la atención a afiliados en todo el país.
La organización Rhysida (conocida en Europa y en EE.UU. por atacar entidades públicas) se atribuyó el ciberataque y la sustracción de datos sensibles que se habrían ofertado en la dark web durante siete días.
El Pami informó por entonces que el ataque había sido “mitigado” y “toda la información” de los servidores se encontraba “resguardada y protegida”.
Sin embargo, durante la investigación (intervino hasta Interpol), no pudo determinarse desde dónde fue realizada la sustracción de los datos ni quiénes eran los autores, por lo que el fiscal federal Guillermo Marijuan solicitó al juzgado de primera instancia el archivo de la causa, ante la imposibilidad de seguir investigando.
En consecuencia, el juzgado archivó el caso, pero Pami apeló y la Sala I de la Cámara Criminal y Correccional Federal confirmó el cierre de la causa. Nuevamente, la obra social apeló, ahora ante la Sala IV de la Cámara Federal de Casación Penal.
En un fallo reciente, Casación (con los votos mayoritarios de Javier Carbajo y de Mariano Borinsky) ordenó a la jueza que reabriera la causa porque se deben agotar todas las medidas investigativas para hallar a los responsables del hecho (que afectó a una población vulnerable), analizar el rol de ciertos funcionarios públicos (gerencia técnica) y profundizar la pesquisa a partir de las maniobras endilgadas al joven cordobés.
El joven estafador cordobés
El supuesto novel estafador cordobés fue denunciado por la por entonces directora ejecutiva de la Unidad de Gestión Local III de Córdoba, Olga Riutort, ante la Fiscalía Federal N° 3 de Córdoba capital, a cargo de Maximiliano Hairabedian.
Las medidas de protección informática adoptadas por Pami, sin embargo, no parecieron haber sido obstáculo para Palacios Arriondo, ya que Riutort denunció que el usuario de la aplicación de mensajería Telegram “Refesduko” (también “RefesPami”) comercializaba recetas de medicamentos (psicotrópicos) de forma apócrifa.
A través de la pesquisa, el fiscal determinó que Palacios Arriondo era quien usaba su canal de Telegram @RefesDuko y su usuario @Duk0ssj para ofrecer las recetas médicas truchas.
Gracias a las escuchas telefónicas, se detectó, luego, que el joven utilizaba de manera reiterada la cuenta bancaria de su madre en el Banco Galicia para recibir las transferencias de las ventas y para redireccionar los pagos a su cuenta de Mercado Pago.
Cuando allanaron su casa en Rosedal Anexo, de la ciudad de Córdoba, le secuestraron en su habitación dos teléfonos celulares, entre ellos, un iPhone 11. Al momento del operativo, tenía abierta su cuenta de Telegram, desde donde habría realizado las negociaciones.
Los investigadores establecieron que, entre julio y agosto de 2023 (Pami informó del hackeo en agosto), el joven habría comprado una o varias bases de datos sustraídas a la obra social, con información sensible de afiliados, sus carnés digitales, médicos prestadores, usuarios y claves de acceso a los sistemas de gestión y atención al afiliado, entre ellos, el sistema de recetas electrónicas.
Publicaba una “lista de precios”, discriminada según el tipo de psicotrópico ofertado. Entre las drogas o presentaciones comerciales que habría ofrecido y vendido, se encuentran psicotrópicos y estupefacientes contenidos en xanax, valium, alplax, clonazepam, lorazepam, diazepam, sertralina, zolpidem, sildenafil, tramadol, codeína, pregabalina, quetiapina, aseptobrón, modafinilo, entre otros.
El joven habría recibido los pagos mediante criptomonedas o dinero a la cuenta del Galicia de su madre, quien sería empleada de una conocida cadena de farmacias y enfermera en un hospital público (no está imputada en esta causa).
En paralelo, se investiga si los pagos habrían sido enviados a cuentas de otras personas, cuya eventual participación en las maniobras no se pudo determinar aún.
Un dato, registrado el 18 de septiembre de 2023, resultó curioso: tras haber alcanzado los 500 suscriptores en su canal @RefesDuko, Palacios Arriondo habría ofrecido en forma gratuita tres recetas electrónicas falsas, aparentemente generadas por él mismo.
Así, desde el sistema de Pami y utilizando una IP enmascarada, el joven habría confeccionado una de las recetas firmándola ilegalmente con los datos de una médica y con la información inserta de un afiliado.
De este modo, Palacios Arriondo le habría facilitado ilícitamente a Clara Beatriz Barraza la provisión de dos cajas de Clonagin 2 (clonazepam), que la mujer compró en una farmacia de Córdoba capital (este tipo de fármaco sólo puede realizarse bajo receta archivada expedida por un médico habilitado con el objetivo de tratar a un paciente con cierta patología).
En ese caso, el perjuicio económico al Pami ascendió a $ 3.518, ya que la receta no fue emitida por el prestador habilitado ni su destinatario real era un afiliado. En los demás hechos (tres más), la mecánica se repitió en la modalidad y con la misma médica “firmante” (en realidad, Palacios Arriondo, haciéndose pasar por ella), pero con los datos de distintos afiliados como beneficiarios de las recetas.
Los beneficiarios con la prescripción de las falsas recetas fueron, en realidad, la propia Barraza, Luis Gaspar Maciel (quien pudo adquirir con el descuento dos cajas de aseptobrón en Neuquén, por $ 2.524) y otras personas no identificadas (tramadol y alplax).
Ante la imposibilidad de que los afiliados a cuyo nombre se habían prescripto los fármacos los retiraran (porque ignoraban toda la mecánica montada), Palacios Arriondo instruyó a los compradores de Telegram qué pasos debían seguir para engañar a las farmacias prestadoras, diciéndoles que debían hacerse pasar “por familiares o cuidadores” para hacerse de los medicamentos.
El imputado principal negó los hechos y se abstuvo de declarar. El fiscal solicitó su procesamiento, pero pidió los sobreseimientos de Barraza y de Maciel por “criterio de oportunidad” a raíz de la escasa importancia económica del perjuicio al Pami.
Telegram, dinero y una cuenta en Mercado Pago
El juez Ochoa procesó a Palacios Arriondo por presunto encubrimiento agravado de daño informático, falsificación de recetas médicas, defraudación doblemente calificada y facilitación de estupefacientes a título oneroso.
Consideró que, en el marco del hackeo, el joven se valió de los datos para recetar medicamentos vía su canal de Telegram, ya que era él quien manejaba la cuenta de la red social.
El juez recalcó que se comprobó que los pagos, numerosos, efectivamente fueron transferidos a la cuenta bancaria de la madre y que desde allí se derivaron a la de su hijo en Mercado Pago.
No dejó de ser llamativo que en la computadora del joven encontraran una carpeta denominada “REC” con 150 recetas electrónicas de Pami en PDF, junto con las credenciales de los afiliados a nombre de las cuales se habrían emitido.
El Pami debe confirmar aún si la medicación que figura en esas recetas fue vendida por alguna farmacia y si la obra social pagó la cobertura correspondiente por ellas.
Por su parte, el juez sobreseyó a Barraza y a Maciel por defraudación doblemente calificada, a raíz del dictamen del fiscal, que planteó el criterio de oportunidad por la insignificancia económica del daño al Pami (menos de $ 10 mil). Hairabedian también sostuvo que ambos no tuvieron relación con las maniobras de comercialización masiva de recetas truchas, endilgadas a Palacios Arriondo.
