El Hospital Clínic ha confirmado una nueva filtración de datos que fueron secuestrados en un ataque de ransomware a principios de marzo. Después de la primera publicación de un paquete de datos el 30 de marzo, el Clínic ya había advertido que habría nuevas publicaciones. La entidad sanitaria y la Agencia de Ciberseguridad de Catalunya han estado trabajando de manera coordinada desde el ciberataque, y recuerdan que tanto la publicación total como parcial de los datos es considerada un delito. El ataque tuvo lugar a principios de marzo y afectó a los servicios de laboratorio, farmacia y urgencias del hospital. Los responsables del hospital tardaron semanas a restablecer todos los sistemas informáticos afectados. Desde el primer momento, se declaró que no se pagaría a los extorsionadores para recuperar los datos.
El Clínic ha mantenido una estrecha colaboración con la Agencia de Ciberseguridad de Catalunya para abordar las repercusiones de este ciberataque. Las dos entidades han trabajado de manera conjunta para identificar las vulnerabilidades del sistema y tomar medidas de seguridad adicionales para prevenir ataques futuros.
El 30 de marzo, los piratas informáticos agrupados en el colectivo RansomHouse publicó el primer paquete de datos y amenazó con difundir más si no recibían rescate. En aquel momento aseguraron que tenían 4,4 Terabytes de datos y pidieron 4,5 millones de dólares para volverlos. El 4 de abril, los Mossos d'Esquadra consiguieron bloquear el acceso de los ciberdelincuentes a los datos, pero dos días más tarde los ciberatacants contraatacaban amenazando con publicar datos sobre pacientes con enfermedades infecciosas, así como también sobre el uso de fármacos experimentales para la gente mayor.
El 16 de abril, RansomHouse aseguraba que habían publicado más datos confidenciales con un enlace Torrent que permitía descargar toda la información. A través de varias redes sociales facilitaban, además, detalles para realizar la bajada de manera anónima y segura, por no dejar rastro. A través del canal de Telegram que tiene el grupo de ciberdelincuentes, el 27 de abril se aseguraba que había habido una nueva publicación de datos. Por esta misma vía publicaba los enlaces para descargar la información.
En paralelo, el 22 de junio la Autoridad Catalana de Protección de Datos (APDCAT) anunciaba la apertura de un expediente informativo al Clínic y a sus entidades vinculadas para determinar si el hospital merece ser sancionado por incumplimiento de la normativa de protección de datos después de que estas se filtraran a raíz del ciberataque.