El renovado impulso del FBI para compartir inteligencia de amenazas
El FBI está pidiendo a las organizaciones sanitarias que hagan algo que muchas han evitado históricamente: hablar abiertamente sobre los ciberataques que han sufrido. Según informes, la agencia está instando a las empresas de salud a compartir lo que saben sobre las amenazas que han enfrentado, mientras los ataques de ransomware contra el sector continúan a un ritmo constante. El mensaje es claro. Cuando un hospital o clínica es atacado por una banda de ransomware, las tácticas, herramientas e indicadores de compromiso utilizados en ese ataque podrían ayudar a otras organizaciones a defenderse, pero solo si esa información realmente se comparte.
Esto no es una idea nueva en los círculos de ciberseguridad. Las fuerzas del orden llevan mucho tiempo defendiendo que compartir inteligencia de amenazas actúa como un sistema de alerta temprana en todo un sector. Si un hospital de un estado identifica una campaña de phishing o una pieza específica de ransomware, y esa información llega al FBI y se distribuye a otros proveedores de atención médica, se puede reducir la ventana de la que disponen los atacantes para explotar la misma táctica en otros lugares. El renovado énfasis del FBI en esto sugiere que, a pesar de años de advertencias, la información todavía no fluye con la libertad que desearían los investigadores.
Por qué las organizaciones sanitarias guardan silencio
Vale la pena preguntarse, desde una perspectiva editorial, por qué las organizaciones sanitarias podrían dudar en compartir detalles de ataques en primer lugar. Hay razones prácticas que van más allá de la simple reticencia. Denunciar un ataque puede generar escrutinio regulatorio, plantear preguntas de pacientes y socios, y abrir la puerta a litigios. Los equipos jurídicos y de TI de los hospitales suelen actuar con cautela, sopesando las obligaciones de divulgación frente al riesgo reputacional. En un sector ya escaso de personal y presupuesto en ciberseguridad, dar el paso adicional de recopilar y compartir detalles de amenazas con las autoridades o colegas del sector puede simplemente quedar relegado en la lista de prioridades, especialmente en el caos inmediato de responder a una brecha activa.
Nada de esto significa que las organizaciones sanitarias estén actuando de mala fe. Significa que los incentivos en torno a la divulgación son complejos, y el llamamiento del FBI es esencialmente un intento de cambiar ese cálculo argumentando que la inteligencia compartida beneficia a todos, incluida la organización que la comparte. Esta dinámica no es exclusiva de los hospitales. Los operadores de infraestructuras críticas se enfrentan a una tensión similar, como se vio cuando CISA advirtió de un aumento de ataques a PLCs de servicios de agua, otro sector en el que el intercambio oportuno de información entre operadores y agencias federales se considera una defensa de primera línea en lugar de una idea tardía.
El coste del silencio para pacientes y consumidores
Cuando las organizaciones sanitarias guardan silencio sobre las ciberamenazas a las que se enfrentan, las personas que en última instancia asumen el riesgo son los pacientes. Los historiales médicos contienen algunos de los datos personales más sensibles que existen, desde diagnósticos e historiales de tratamiento hasta información de seguros y facturación. Una notificación de brecha tardía, o la falta de inteligencia compartida que podría haber evitado un segundo ataque, se traduce directamente en más registros expuestos y más personas que desconocen lo que sucede con sus propios datos.
Este patrón de divulgación lenta o incompleta no se limita al sector sanitario. Aparece siempre que las organizaciones sopesan la transparencia frente a preocupaciones reputacionales a corto plazo, como se vio en casos como la supuesta brecha del grupo Handala a agencias gubernamentales de los EAU, donde la magnitud de una brecha se hace pública a través de las propias afirmaciones del atacante en lugar de una divulgación proactiva. Por otro lado, una encuesta de Proofpoint descubrió que las organizaciones que pagan rescates de ransomware suelen ser atacadas de nuevo, un recordatorio de que una gestión silenciosa y reactiva de los incidentes de ransomware rara vez resuelve la vulnerabilidad subyacente, se pague o no un rescate.
Lo que esto significa para usted
Si usted es paciente de un proveedor de atención médica, es probable que tenga una visibilidad limitada sobre la eficacia con la que esa organización comparte inteligencia de amenazas o gestiona internamente los incidentes de ransomware. Pero aún hay medidas que están bajo su control. Pregunte a sus proveedores de atención médica sobre sus políticas de seguridad de datos y notificación de brechas. Preste atención a las cartas de notificación de brechas cuando lleguen y actúe con rapidez en lugar de dejarlas de lado. Considere utilizar contraseñas seguras y únicas para los portales de pacientes y active la autenticación multifactor siempre que se ofrezca. El cifrado de datos tanto en tránsito como en reposo, junto con herramientas de acceso remoto seguro como VPN para el personal sanitario que trabaja fuera de los perímetros de red tradicionales, contribuye a reducir la superficie de ataque que los grupos de ransomware explotan en primer lugar.
Medidas prácticas que puede tomar
El llamamiento del FBI para que las organizaciones sanitarias compartan inteligencia sobre ciberamenazas pone de relieve una brecha estructural que afecta a todos los que están conectados al sistema de salud, no solo a los departamentos de TI. A medida que los ataques de ransomware siguen teniendo como objetivo hospitales y clínicas, una comunicación más rápida y abierta sobre las amenazas podría traducirse en menos ataques exitosos en el futuro. Mientras tanto, los pacientes pueden protegerse vigilando atentamente las notificaciones de brechas, utilizando una autenticación sólida en cualquier portal médico y haciendo preguntas directas a los proveedores sobre sus prácticas de ciberseguridad. El intercambio de inteligencia de amenazas puede ser una conversación política que tiene lugar a nivel institucional, pero su impacto en el mundo real recae directamente sobre las personas cuyos datos están en juego.
