Lo que ocurrió en el hospital canadiense
Un ataque de ransomware a un hospital en Canadá ha perturbado mucho más que los ordenadores administrativos y los historiales de los pacientes. Según informa Cybersecurity Insiders, el ataque dejó fuera de servicio los sistemas de control de puertas, ascensores, ventilación y aire acondicionado del centro, obligando al personal a gestionar el funcionamiento físico del edificio sin los sistemas automatizados en los que normalmente confían.
Se trata de una desviación notable respecto a los incidentes de ransomware que suelen acaparar titulares. La mayoría de la cobertura sobre casos de ataques de ransomware a hospitales en Canadá y en otros lugares se ha centrado en el robo de datos de pacientes, registros de facturación o información de seguros. Este incidente es diferente porque muestra a los atacantes accediendo a la tecnología operativa que mantiene un hospital en funcionamiento físico, no solo a los sistemas informáticos que almacenan sus registros.
Aunque los detalles sobre el grupo de ransomware específico detrás de este ataque, el nombre del hospital y la cantidad del rescate exigida no se revelaron en los informes iniciales, la interrupción en sí misma es la noticia. Cuando las puertas, los ascensores y los sistemas de climatización quedan fuera de servicio en un hospital, el impacto pasa de ser un problema informático a un problema de seguridad del paciente casi de inmediato.
Por qué el ransomware ahora apunta a los sistemas físicos del hospital, no solo a los registros
Los hospitales se han convertido en objetivos atractivos para el ransomware por una sencilla razón: no pueden permitirse tiempos de inactividad prolongados como otros negocios. Un minorista con servidores cifrados podría perder ventas durante unos días. Un hospital con la ventilación desactivada, puertas bloqueadas o ascensores que no funcionan se enfrenta a riesgos inmediatos para la atención al paciente, el control de infecciones y la respuesta a emergencias.
Muchos hospitales gestionan sus sistemas de gestión de edificios, controles de climatización y sistemas de control de acceso en redes que están conectadas, directa o indirectamente, a la misma infraestructura utilizada para la informática clínica y administrativa. Cuando el ransomware se propaga a través de la red de un hospital, no siempre respeta la línea entre "TI" e "instalaciones". Un único punto de apoyo puede terminar afectando simultáneamente a los equipos de monitorización de pacientes, cerraduras de puertas y sistemas de tratamiento de aire.
Esta combinación de riesgo digital y físico es parte de un patrón más amplio. Las operaciones de ransomware se han convertido en una economía criminal madura, con afiliados dedicados, negociadores e infraestructura construida específicamente para presionar a las víctimas a pagar rápidamente. La escala de esta actividad ha sido documentada en investigaciones recientes de la industria que muestran que los ataques de ransomware alcanzaron niveles récord en los últimos trimestres, lo que subraya que incidentes como el de este hospital canadiense no son eventos aislados, sino parte de una oleada mucho mayor.
Doble y triple extorsión: el modelo de negocio detrás de los ataques al sector salud
La lógica financiera detrás de estos ataques ha evolucionado considerablemente. El ransomware tradicional simplemente cifraba archivos y exigía un pago por la clave de descifrado. Hoy en día, muchas operaciones utilizan tácticas de doble extorsión: robar datos confidenciales antes de cifrar los sistemas y luego amenazar con filtrar esos datos públicamente si no se paga el rescate. Algunos grupos van aún más lejos, utilizando enfoques de triple extorsión que añaden presión sobre los clientes, pacientes o socios comerciales de la organización víctima.
Para los hospitales, esto crea un cálculo difícil. Incluso si los sistemas de respaldo permiten a un centro restaurar los archivos cifrados sin pagar, la amenaza de filtración de datos de pacientes o, en casos como este, la interrupción continua de los sistemas físicos del edificio, añade presión para negociar. Las fuerzas de seguridad de varios países han tomado medidas para desarticular a los individuos y redes detrás de las principales operaciones de ransomware, incluyendo acciones de sanciones contra operadores vinculados a conocidas infraestructuras de ransomware como las sanciones impuestas al administrador de Trickbot conocido como Stern. Aun así, el modelo de negocio subyacente sigue siendo lo suficientemente rentable como para que continúen surgiendo nuevos ataques contra objetivos del sector sanitario.
Qué pueden hacer los pacientes y el personal sanitario para proteger sus datos
Para los pacientes, hay poco control directo sobre cómo un hospital asegura su red, pero aún hay medidas significativas que vale la pena tomar. Los pacientes afectados por un incidente cibernético de un proveedor de atención médica deben estar atentos a las notificaciones oficiales de violación de datos, monitorear las declaraciones de seguros y facturación en busca de actividad desconocida y ser cautelosos con los intentos de phishing que hagan referencia al incidente. La magnitud de lo que puede salir mal cuando se exponen los datos sanitarios quedó clara con la violación de datos de Change Healthcare que afectó a más de 190 millones de registros, lo que mostró cómo un solo incidente de ransomware en el sector de la salud puede propagarse para afectar a pacientes mucho más allá del objetivo inicial.
El personal sanitario y los administradores de TI, mientras tanto, deberían tratar este incidente como un recordatorio para segmentar la tecnología operativa, como los controles de acceso a edificios y climatización, de las redes clínicas y administrativas siempre que sea posible. Las copias de seguridad periódicas, los planes de respuesta a incidentes probados y los protocolos de comunicación claros para las operaciones del edificio durante un incidente cibernético ya no son extras opcionales. Son requisitos básicos para instalaciones donde una interrupción de la red puede traducirse directamente en un peligro para la seguridad.
Qué significa esto para usted
Este ataque de ransomware a un hospital en Canadá es una señal de que las amenazas de ransomware han ido más allá de los archivos robados y han entrado en los espacios físicos donde se presta la atención médica. Ya sea usted un paciente, un empleado de hospital o simplemente alguien que sigue las noticias de ciberseguridad, la conclusión es la misma: los incidentes de ransomware en el sector salud conllevan cada vez más consecuencias que van mucho más allá de la privacidad de los datos. Mantenerse alerta ante las notificaciones de violaciones de datos, comprender cómo se desarrollan estos ataques y apoyar prácticas de seguridad más sólidas en las instituciones sanitarias son formas prácticas de responder a una amenaza que no va a desaparecer pronto.
