El ejemplo de hasta dónde puede afectar un ataque de ransomware a una organización sanitaria

Los ataques de ransomware se han hecho bastante frecuentes, como una forma de delincuencia en la que quien perpetra el daño puede mantenerse en el anonimato. Lo que también ocurre cada vez más es que la víctima sea un hospital o una organización asistencial del tipo de CommonSpirit Health, precisamente porque el daño con el que se puede amenazar es especialmente relevante. Según un recuento que publicó el medio especializado Fierce Healthcare, en 2021 estos ataques afectaron a cerca de 45 millones de norteamericanos, frente a los 34 millones que los sufrieron en 2020.
   
Lo ocurrido y sus consecuencias.

El ataque de ransomware que sufrió CommonSpirit Health consiguió, de hecho, paralizar prácticamente toda su actividad. La empresa informó inicialmente, el 5 de octubre de 2022, sobre lo que calificó como  “un problema de seguridad de sistemas”. Una semana más tarde confirmó que se trataba de un ataque de ransomware. Posteriormente, el 17 de octubre, emitió una nueva comunicación en la que afirmaba que en algunos de sus centros no se habían producido incidencias relevantes ni para la gestión clínica ni para la atención al paciente, pero que había otros hospitales en los que sí se habían sufrido impactos muy relevantes en su actividad, y que seguían trabajando para restaurar los sistemas.

El principal daño sobre la actividad tuvo dos causas. Una, por la necesidad de reprogramar las  citas de los pacientes debido a la alteración del sistema de agenda. Pero también, y muy especialmente, debido a que muchos procedimientos clínicos se vieron igualmente afectados, por la dependencia que tienen de los sistemas corporativos. Los programas de alertas clínicas y seguimiento en domicilio de pacientes igualmente experimentaron problemas severos.

CommonSpirit Health dispone de un portal del paciente, denominado MyChart, en el que estos puede consultar su historial, descargar informes y solicitar servicios. Esta aplicación se tuvo que desconectar completamente como medida cautelar hasta la evaluación de posibles filtraciones. También se desconectó completamente el sistema de historia clínica digital, de manera que se suspendió durante bastantes días la posibilidad de incorporar datos en ella.

Y no sólo eso. Determinados proveedores -como centros de rehabilitación, farmacias, ortopedias o laboratorios de análisis clínicos- tenían acceso limitado al sistema de registros médicos desde donde se gestionaban las peticiones y los volantes, de manera que la interrupción del servicio afectó en cascada a la mayoría de ellos.

No se informó que se produjeran filtraciones de datos de pacientes, o que estos hayan sido secuestrados con la finalidad de obtener un recate. En Estados Unidos, las organizaciones sanitarias están obligadas por una ley federal a informar de cualquier fuga o extracción de información sanitaria que afecte al menos a 500 personas, lo que se ha de comunicar al Departamento de Salud norteamericano.

Tampoco se ha hecho público el tipo de software malicioso que se introdujo en la red de CommonSpirit Health, ni si los responsables de la empresa accedieron a algún tipo de transacción con los extorsionadores, aunque paree ser que no fue así. La empresa encargó una investigación forense para determinar el alcance de los daños, y tuvo que recurrir a especialistas externos en ciberseguridad. La resolución del problema ocupó no menos de tres semanas, y se realizó sobre la base del trabajo de sus propios técnicos de sistemas.  

Los expertos en ciberseguridad consideran que las organizaciones sanitarias siguen siendo excepcionalmente vulnerables a este tipo de amenazas, dado que son significativamente sensibles a la extorsión debido a la función crítica que desarrollan. Dicho de otra manera, que con vidas en juego, los hospitales tienen más que perder si no pagan. Junto a ello, algunos piensan que los servicios de salud no han avanzado lo suficiente en priorizar lo concerniente a su ciberseguridad en las fases de prevención, respuesta temprana y estrategias de contingencia.

El caso de CommonSpirit Health es, hasta el momento, el que más impacto ha tenido en términos de repercusión en la actividad asistencial y por número de pacientes. Ha permitido comprobar lo necesarias que son las medidas de protección y prevención de las intrusiones maliciosas. Y pone de manifiesto la gama tan amplia de impactos que puede llegar a tener un ataque de estas características, desde la cancelación de la actividad sanitaria, la repercusión en proveedores, y el riesgo de fuga de datos médicos de los pacientes.

Si tenemos en cuenta además lo complejo de resolver una crisis de esta naturaleza -algo que no se consigue en términos de días, sino de semanas- podemos evaluar la importancia que tiene la ciberseguridad en la sanidad y la necesidad que existe de actuar preventivamente.