Uruguay BHU Data Breach: Opacity and Digital CrisisUruguay BHU Data Breach: Opacity and Digital Crisis

Can state bank executives enforce a 15-year secrecy decree over your sensitive health records leaked on the dark web?In this video podcast briefing, we analyze the critical revelation inside the 700 GB Crypto24 ransomware data dump at Banco Hipotecario del Uruguay (BHU): unencrypted health assessments, medical clearance files, and physical fitness certificates from Club Banco Hipotecario (CBH) sitting exposed on open bank network shares (\\Server\Comun\...).🏋️ Exposed Health Records: How routine sports club medical files were exfiltrated alongside mortgages, property titles, and payrolls.🛡️ Secrecy Decrees vs. Human Rights: Why state secrecy resolutions cannot override statutory privacy guarantees under Law N° 18.331 and GDPR Article 9.⏱️ The 5-Day Statutory Clock: Serving formal Article 14 data access demands to BHU and Club BHU.🚫 Connection Refused (SMTP 550): The official regulatory complaint to URCDP/AGESIC bouncing back, establishing technical obstruction and administrative bad faith (denegatoria ficta).🇮🇹 Rome & Transnational Escalation: Filing a formal complaint before Italy’s Garante Privacy (Art. 144) and the Italian Embassy, threatening Uruguay's EU Data Adequacy status.00:00 — Introducción: La brecha de 700 GB y el hallazgo en el Club BHU02:15 — Datos sensibles de salud expuestos en carpetas compartidas05:40 — ¿Tienen jerarcas bancarios la potestad de ocultar tu información médica?09:10 — Intimaciones de 5 días hábiles al BHU y CBH12:30 — El servidor rebotado: Error SMTP 550 en la URCDP (AGESIC)15:45 — Escalada a Roma (Garante Privacy) e intervención de la INDDHHInvestigación & Conducción: Alberto Daniel HillPGP Key ID: 0xA1406A6E117EF283Fingerprint: 6B33 A7C8 E94B 8D9C 4E54 03DE A140 6A6E 117E F283#CasoBHU #Ciberseguridad #DatosSensibles #DerechosDigitales #Uruguay #GDPR #HabeasData #TransparenciaYa📌 Episode Highlights:⏱️ Marcas de Tiempo (Timestamps)🔑 Firma PGP & Registro Público

¿Pueden los jerarcas de un banco estatal decidir mediante un decreto de reserva que tus datos de salud queden bajo su control y en el secreto por 15 años?En este video podcast de análisis e investigación forense, desglosamos el hallazgo más delicado y crítico tras auditar la filtración masiva de 700 GB del grupo cibercriminal Crypto24 al Banco Hipotecario del Uruguay (BHU): la presencia de fichas médicas, certificados de aptitud física y evaluaciones de salud del Club Banco Hipotecario (CBH) alojados sin cifrado en carpetas compartidas de la red del banco (\\Server\Comun\...).🧬 El Hallazgo de Datos Médicos: Cómo información de salud e historias clínicas terminaron expuestas en la dark web junto a escrituras, recibos de sueldo y deudas crediticias.⚖️ El Conflicto de Derechos: El choque entre el decreto de reserva confidencial por 15 años aprobado por el Directorio del BHU y el régimen de protección de datos sensibles (Ley N° 18.331, Art. 9 y 14 / GDPR Art. 9).⏱️ La Guillotina de 5 Días: Las intimaciones formales de derecho de acceso enviadas al BHU y al Club BHU con plazo legal perentorio.🚫 El Rebote Técnico (SMTP 550): La insólita respuesta de los servidores de correo de la URCDP (AGESIC) al rebotar la denuncia formal, perfeccionando la denegatoria ficta y la mala fe administrativa.🏛️ Escalada Transnacional: La denuncia ante la INDDHH en Uruguay y la Segnalazione ex Art. 144 radicada ante el Garante Privacy en Roma, poniendo en riesgo la adecuación de datos de Uruguay ante la Unión Europea.Can state bank executives enforce a 15-year secrecy decree over your sensitive health records leaked on the dark web?In this video podcast briefing, we analyze the critical revelation inside the 700 GB Crypto24 ransomware data dump at Banco Hipotecario del Uruguay (BHU): unencrypted health assessments, medical clearance files, and physical fitness certificates from Club Banco Hipotecario (CBH) sitting exposed on open bank network shares (\\Server\Comun\...).🏋️ Exposed Health Records: How routine sports club medical files were exfiltrated alongside mortgages, property titles, and payrolls.🛡️ Secrecy Decrees vs. Human Rights: Why state secrecy resolutions cannot override statutory privacy guarantees under Law N° 18.331 and GDPR Article 9.⏱️ The 5-Day Statutory Clock: Serving formal Article 14 data access demands to BHU and Club BHU.🚫 Connection Refused (SMTP 550): The official regulatory complaint to URCDP/AGESIC bouncing back, establishing technical obstruction and administrative bad faith (denegatoria ficta).🇮🇹 Rome & Transnational Escalation: Filing a formal complaint before Italy’s Garante Privacy (Art. 144) and the Italian Embassy, threatening Uruguay's EU Data Adequacy status.00:00 — Introducción: La brecha de 700 GB y el hallazgo en el Club BHU02:15 — Datos sensibles de salud expuestos en carpetas compartidas05:40 — ¿Tienen jerarcas bancarios la potestad de ocultar tu información médica?09:10 — Intimaciones de 5 días hábiles al BHU y CBH12:30 — El servidor rebotado: Error SMTP 550 en la URCDP (AGESIC)15:45 — Escalada a Roma (Garante Privacy) e intervención de la INDDHHInvestigación & Conducción: Alberto Daniel HillPGP Key ID: 0xA1406A6E117EF283Fingerprint: 6B33 A7C8 E94B 8D9C 4E54 03DE A140 6A6E 117E F283#CasoBHU #Ciberseguridad #DatosSensibles #DerechosDigitales #Uruguay #GDPR #HabeasData #TransparenciaYa🇪🇸 Descripción en Español (Principal)📌 Puntos clave de este episodio:🇬🇧 English Description (Alternative / Bilingual)📌 Episode Highlights:⏱️ Marcas de Tiempo (Timestamps)🔑 Firma PGP & Registro Público

Can state bank executives enforce a 15-year secrecy decree over your unencrypted health records leaked on the dark web?In this video podcast forensic briefing, independent cybersecurity researcher Alberto Daniel Hill breaks down the most critical and alarming revelation inside the 700 GB Crypto24 ransomware data dump at Banco Hipotecario del Uruguay (BHU): the exfiltration of sensitive medical files, physical fitness clearance certificates, and health assessments belonging to members of Club Banco Hipotecario (CBH)—stored completely unencrypted across open bank network shares (\\Server\Comun\...).We examine the fundamental collision between institutional opacity, state secrecy decrees, and fundamental human rights to personal data protection under Uruguay’s Law N° 18.331 and EU GDPR Article 9.00:00 — The 700 GB Ransomware Dump: How Crypto24 breached BHU and exposed sensitive citizen data.02:15 — The Exfiltrated Medical Records: Discovering unencrypted Club BHU fitness and health files inside public network shares.05:40 — Secrecy Decrees vs. Citizen Rights: Can state officials use a 15-year confidentiality resolution to hide data breaches affecting personal health information?09:10 — The 5-Day Statutory Clock: Serving formal Article 14 data access demands on BHU and Club BHU.12:30 — Connection Refused (SMTP 550): How the regulatory complaint sent to the Data Protection Authority (URCDP/AGESIC) bounced back, legally establishing administrative obstruction (denegatoria ficta).15:45 — Transnational Escalation: Filing a constitutional complaint before the INDDHH and a Segnalazione ex Art. 144 before the Garante Privacy in Rome, threatening Uruguay's EU Data Adequacy status.Data Breach Severity: Plaintext passwords, unsegmented file shares, and massive exfiltration of mortgage, salary, and medical records.Constitutional Rights: Self-determination of information (Habeas Data) vs. board-level administrative secrecy.International Impact: Challenging Uruguay's EU Data Adequacy status under EU Decision 2012/484/EU due to structural regulatory dependency between AGESIC and URCDP.Host & Lead Analyst: Alberto Daniel HillPGP Key ID: 0xA1406A6E117EF283Fingerprint: 6B33 A7C8 E94B 8D9C 4E54 03DE A140 6A6E 117E F283Public Record: All legal filings and forensic proofs are PGP-signed and cryptographically verified on public archives.#DataBreach #CyberSecurity #BHU #Privacy #HumanRights #GDPR #HabeasData #RadicalTransparency #Uruguay #Whistleblower📌 Key Highlights & Timestamps🛡️ Legal & Regulatory Breakdown🔑 Cryptographic Verification & PGP Records

Por: Alberto Daniel Hill Categoría: Tecnología / True Crime / Ciberseguridad & PrivacidadDescripción: ¿Cómo pueden los certificados de aptitud física de un club deportivo desmantelar un decreto de reserva estatal de 15 años?En este episodio, analizamos el hallazgo inesperado dentro de la filtración masiva de 700 GB del ransomware Crypto24 en el Banco Hipotecario del Uruguay (BHU): expedientes de salud y fichas médicas no cifradas de los socios del Club Banco Hipotecario (CBH) alojados directamente en carpetas compartidas de la red del banco (\\Server\Comun\...).En este episodio abordamos:🏋️ La vulnerabilidad de los registros deportivos: Cómo certificados médicos de aptitud física y fichas de evaluación terminaron exfiltrados junto a escrituras hipotecarias, títulos de propiedad y recibos de sueldo.🛡️ Datos de salud vs. Secretos de Estado: Por qué la Ley N° 18.331 de Protección de Datos Personales de Uruguay y el Artículo 9 del GDPR exigen máximos rigores de seguridad para datos sensibles, y por qué una resolución de directorio no puede pisotear los derechos ciudadanos.⏱️ La guillotina de los 5 días hábiles: La exigencia de explicaciones mediante intimaciones formales enviadas al BHU y al Club BHU bajo el Artículo 14.🚫 Conexión Rechazada (SMTP 550): Qué ocurrió cuando la denuncia enviada a la URCDP (AGESIC) rebotó con un error de servidor, y cómo este rechazo técnico perfecciona la denegatoria ficta y la mala fe administrativa.🇮🇹 La escalada internacional en Roma: Cómo la ciudadanía italiana transformó un bloqueo burocrático local en una Segnalazione ex Art. 144 ante el Garante Privacy en Roma, poniendo en jaque la Decisión de Adecuación de Datos de la Unión Europea para Uruguay.🎧 Incluye banda sonora electrónica original del Cybermidnight Club.

Episode Summary: When state bank executives classified all technical details of a catastrophic 700 GB ransomware breach under a 15-year confidentiality decree, they assumed the narrative was sealed until 2041. They didn't count on the exfiltrated files containing something they couldn't legally classify: sensitive health and medical records from the bank's sports club, Club BHU.This episode traces the exact mechanics of a legal and forensic pincer strategy—turning unencrypted sports club fitness files into a high-leverage tool to dismantle institutional opacity across Montevideo, Rome, and Brussels.Key Timestamps / Topics Covered:00:00 — Introduction: The Anatomy of a 700 GB State Bank Leak03:15 — The Discovery: Medical & Fitness Files inside \\Server\Comun\...08:30 — Legal Analysis: Law 18.331, GDPR Art. 9, and the 15-Year Secrecy Decree14:20 — Serving the 5-Day Statutory Clock on BHU & Club BHU19:45 — The SMTP 550 Bounce: When the Data Protection Authority Shuts its Doors25:10 — The Rome Pincer: Filing Segnalazione ex Art. 144 with the Italian Garante31:00 — Why Uruguay's $2.2B Tech Export Industry is Now on the Line36:30 — Conclusion & What Happens When the 5-Day Deadline Hits ZeroDocumentation & Public Records:PGP Key ID: 0xA1406A6E117EF283Fingerprint: 6B33 A7C8 E94B 8D9C 4E54 03DE A140 6A6E 117E F283Hashes & Archives: All filings PGP-signed and verified on the public record.

ALBERTO DANIEL HILL - Salud Expuesta: El Caso BH, La Arquitectura del Silencio00:00:20 Alberto: Pues todo comenzó con un ciberataque enorme en dos mil veinticinco al Banco Hipotecario del Uruguay, donde robaron más de setecientos gigabytes de información sin encriptar entre papeles hipotecarios y documentos bancarios. Apareció algo inesperado. Archivos médicos de personas que habían sido miembros de un club deportivo relacionado al banco.00:00:58 Alberto: Exacto. Y eso es lo que genera un problema legal enorme. Los datos de salud son considerados sensibles y por eso tienen la máxima protección en la ley, tanto en Uruguay con la Ley dieciocho punto treinta y uno como en Europa con el GDPR.00:01:13 Speaker 2: Y por qué tanta protección? Pues porque esos datos revelan detalles súper personales que pueden afectar tu empleo, tu seguro o incluso cómo te tratan en distintas situaciones. Filtrarlos no es solo un error técnico, es una herida que daña la dignidad y la libertad de la persona.00:01:30 Alberto: Sí, y en este caso la negligencia fue total. Esos registros médicos estaban expuestos en el mismo sistema donde había contratos hipotecarios y hasta contraseñas de empleados. Imagínate qué riesgo enorme para la privacidad.00:01:48 Alberto: Nueve meses después del ataque en dos mil veintiséis. La dirección del banco sacó un decreto que clasificaba como secreto por quince años toda la información sobre el incidente. Dijeron que era para proteger la infraestructura, pero la realidad es que esos datos ya estaban en la red oscura desde hacía meses.00:02:05 Speaker 2: O sea, ese decreto no sirve para protegernos a nosotros, sino para proteger a la institución de las consecuencias. Pero pueden las instituciones callarnos así? Un decreto puede anular nuestros derechos?00:02:20 Alberto: No, en absoluto. En la jerarquía legal, la Constitución está arriba. Lo. Las leyes y los decretos están abajo. Un decreto administrativo nunca puede suspender derechos fundamentales como la privacidad o la dignidad personal que protegen que nosotros controlemos nuestros propios datos.00:02:38 Speaker 2: Eso es lo que llaman el derecho a la autodeterminación informativa, verdad? El derecho de decidir qué se hace con tu información personal y quién puede acceder a ella.00:02:48 Alberto: Exacto. Y si una institución no responde a tus pedidos de acceso, tienes un recurso legal llamado Habeas Data. Eso es un proceso judicial para pedir que el juez obligue a entregar o corregir lo que tienen sobre ti. Y eso no lo puede bloquear ningún decreto.00:03:04 Speaker 2: Eso es muy importante para la gente, porque aunque el banco trate de cerrar bocas con un decreto, la justicia sigue abierta para defender tus derechos.00:03:13 Alberto: Además, esto no solo pasa en Uruguay. Uruguay tiene un acuerdo con Europa que reconoce su protección de datos como equivalente al GDPR, pero si no cumplen como no notificar a los afectados, pueden perder esa confianza internacional.00:03:27 Speaker 2: De hecho, el investigador que descubrió todo esto, que tiene doble ciudadanía uruguaya e italiana, presentó una denuncia formal ante la autoridad italiana, buscando forzar que se respeten las leyes también desde Europa.00:03:40 Alberto: Esto nos recuerda que nuestros datos de salud no son propiedad ni de un banco ni de un gobierno. Son nuestros. Y la ley, los jueces y hasta la comunidad internacional están ahí para protegerlos.00:03:52 Speaker 2: Así que cuando se vulneran tus datos, hay caminos para defenderte y exigir transparencia y seguridad. La negligencia y el encubrimiento no pueden estar por encima de tus derechos.00:04:03 Alberto: Sabes qué es lo más preocupante? Que un decreto no cambia el hecho. Esos datos están expuestos en la red oscura. Lo que determina el decreto es si los responsables deben rendir cuentas o no, y por.00:04:14 Speaker 2: Suerte, la ley dice que sí deben, porque tus derechos son más fuertes que cualquier intento de ocultarlos.

Vía Administrativa Local (Uruguay – Inicia el plazo de 5 días hábiles)1. Banco Hipotecario del Uruguay (BHU)2. Club Banco Hipotecario (CBH)3. Unidad Reguladora y de Control de Datos Personales (URCDP)4. Garante per la Protezione dei Dati Personali (Roma, Italia)5. Ambasciata d'Italia a Montevideo (Sección Consular)6. Prensa Internacional de Ciberseguridad (Wired, 404 Media, Ars Technica, CyberScoop)🇮🇹 2. Vía Internacional y Diplomática (Italia / Unión Europea)📰 3. Difusión Mediática e Investigación

Here is the detailed summary of all official emails sent today (Tuesday, September 15, 2026), complete with technical headers, attached files, delivery statuses, and reply tracking[1]:Timestamp: Tue, 15 Sep 2026 12:54:41 -0300 (~08:17 local execution)[3][8]To: [email protected], [email protected][3]Message-ID: `1. Banco Hipotecario del Uruguay (BHU)

Pulp Sovereignty (Part 1: The Pin and the Cryptographic Trap)A diner booth, cold coffee, and the mechanics of an administrative trap nine years in the making. It is Monday morning, September 14, 2026. Alberto Daniel Hill sits across from his own relentless conscience to unpack the five-day legal fuse ignited on Tuesday, September 1st at 6:14 PM. Operating with zero budget, he dropped an electronic Habeas Data packet under Law 18.331 straight into the Executive Tower’s gateway at [email protected]. The payload? Cryptographic artifacts from 2014 and 2015—Request Tracker tickets #10445 and #15521. These are the exact notifications proving public health databases were left wide open with credentials set to admin:admin, confirmed back then by Santiago Paz. During the 2017 Operación Bitcoins proceedings, state officials swore under oath that these records never existed. Armed with raw RFC 5322 headers digitally signed with OpenPGP keys and sealed with the Presidency’s own 2014 SHA-512 hashes, Alberto pulls the pin. The server logs Ticket No. 517,199, setting off an internal panic index of 91/100. If the state denies the files, their own cryptographic keys prove they are lying; if they validate them, they admit to felony perjury. And the fatal statutory five-day deadline? It drops like an iron guillotine on Wednesday, September 9, 2026: the exact 9-year anniversary of the morning they kicked his door down. Set to dirty 1970s surf rock, fuzz bass, and Tarantino-style neo-noir spoken word, Part 1 dissects the opening move of an impossible-to-be-accident legal collision. Track: Part 1 – The Pin and the Cryptographic Trap Narrative & Concept: Alberto Daniel Hill Genre: Neo-Noir Spoken Word / Cinematic Surf Rock IMPORTANT!Dossier & Forensics: albertohill.com | @ADanielHill https://t.me/cybermidnighthttps://www.tiktok.com/@albertodanielhill https://www.youtube.com/@CYBERMIDNIGHTCLUB-n9xhttps://audiomack.com/albertodanielhillhttps://bsky.app/profile/albertohill.comhttps://mastodon.social/@ADanielHill https://bsky.app/profile/albertohill.comhttps://open.spotify.com/show/3XmolWa59mJtPWQsVyrKb9?si=2f5933ed9d6f46c6https://podcasts.apple.com/us/podcast/cybermidnight-club-hackers-cyber-security-and-cyber-crime/id1446317273https://www.instagram.com/adanielhill/MOST IMPORTANT:https://archive.org/details/pulp-sovereigntyHASHTAG: #pulpsovereignty-------------------Alberto Daniel Hill https://albertohill.comhttps://cybermidnight.clubhttps://t.me/cybermidnight⚖️ DisclaimerThe views, information, or opinions expressed during the CYBERMIDNIGHT CLUB series are solely those of the individuals involved and do not necessarily represent those of any affiliated entities. The content provided in this podcast is for informational, educational, and entertainment purposes only and does not constitute professional, financial, medical, or legal advice. Please consult with a qualified professional before making any decisions based on the material contained in this podcast.#hacker #uruguay #cybersecurity #cybersecuritytips #infosecurity #hacking #police #prison #love #cryptocurrencies #bitcoin #interpol #finland #cybercrime-------------------Alberto Daniel Hill https://albertohill.comhttps://cybermidnight.clubhttps://t.me/cybermidnight⚖️ DisclaimerThe views, information, or opinions expressed during the CYBERMIDNIGHT CLUB series are solely those of the individuals involved and do not necessarily represent those of any affiliated entities. The content provided in this podcast is for informational, educational, and entertainment purposes only and does not constitute professional, financial, medical, or legal advice. Please consult with a qualified professional before making any decisions based on the material contained in this podcast.#hacker #uruguay #cybersecurity #cybersecuritytips #infosecurity #hacking #police #prison #love #cryptocurrencies #bitcoin #interpol #finland #cybercrime

September 14, 2026