Ciberataques a centros de salud durante la emergencia
Mucho se ha hablado sobre los efectos secundarios de la crisis por Covid-19 en el mundo y éste seguirá siendo un tema popular en los meses que vienen. Los ciudadanos estamos al tanto del número de enfermos y víctimas mortales, de las cifras de desempleo y de los efectos económicos que una crisis como esta trae a nuestros países. Pero de lo que no todos estamos al tanto, es que hay otros tipos de afectaciones a causa de la crisis. Esta vez hablaremos sobre ataques cibernéticos al sector de la sanidad.
En un primer momento, podríamos pensar que no es un tema prioritario durante esta coyuntura. Pero es totalmente lo contrario. Los hospitales, clínicas, laboratorios son más vulnerables hoy a causa de esta crisis. ¿Por qué? Con la red hospitalaria saturada, se presentan dos riesgos: el personal está cansado y enfocado en salvar vidas y los piratas informáticos ven una oportunidad de ataque e intentan bloquear los sistemas de información, secuestrar datos sensibles como historias clínicas e inhabilitar el buen funcionamiento del hospital.
¿Cuál podría ser el objetivo de un ataque de esta naturaleza a un centro de salud? El carácter de urgencia, la inoperatividad en el escenario de un ataque, y el hecho de tener vidas humanas en riesgo, conlleva que un centro hospitalario pague por el rescate del sistema bloqueado y la recuperación de los datos sensibles. Esto significa que atacar al sector salud se convierte en un negocio interesante para los piratas informáticos.
Tengamos presente que es común encontrar personas que, aunque están muy bien preparadas en su campo de acción, no necesariamente tienen una formación sólida en materia de tecnología. Además, la naturaleza de su trabajo diario los hace priorizar su atención en cosas que no necesariamente están ligadas a la protección de los sistemas informáticos. Esto es una mala combinación para la organización y la vuelve vulnerable. La primera herramienta de comunicación de la mayoría de las organizaciones es el correo electrónico: por lo tanto, este canal está lógicamente plagado de ataques cibernéticos. Entre 2018 y 2019 se detectó un incremento del 300% de ataques al sector salud a nivel mundial, en especial los de tipo ransomware, phishing y spear phishing.
Los intentos de ataque seguirán en aumento. Por ejemplo, en los meses de marzo y abril de 2020 -en plena crisis del Covid-19-, la Policía en España identificó y detuvo a un joven de 16 años que venía atacando a diferentes hospitales y centros educativos desde 2019. También se identificó un potente ransomware llamado NetWalker, que utilizando supuesta información importante sobre Covid-19 como señuelo, secuestra el sistema y todos los datos de un hospital.
Una empresa como Mailinblack generalmente procesa 5 mil millones de correos electrónicos por año para sus 10.000 clientes. Para hacerse una idea, se trata de 3,5 millones de intercambios para un centro hospitalario o una PYME, el 50% de los cuales son spam y 25.000 intentos de phishing o malware. Estamos viendo un aumento del tráfico del 30%, con un riesgo estadístico de ataque asociado. También ataques dirigidos, o spear phishing, desde la administración general con correos electrónicos que generalmente incluyen una noción de emergencia, se requiere transferencia de dinero, con un enlace directamente en el correo electrónico o como archivo adjunto.
Pero, ¿cómo funciona un ataque? Un usuario recibe un correo electrónico que indica que, por ejemplo, ha ganado un iPhone o los invita a cambiar su contraseña en Office 365. El usuario abre el correo electrónico, hace clic en el enlace y entrega su nombre de usuario y contraseña. Es entonces cuando el malware accede a información personal, como el número de tarjeta de crédito. A veces, el programa se extiende a todos los contactos de los usuarios atacados. El segundo escenario, mucho más dañino, es el del ransomware por correo electrónico. El usuario, sin saberlo, descarga un software que cifrará documentos, cambiará extensiones y paralizará el sistema de información. El pirata informático pedirá un pago a cambio de recuperar la información secuestrada.
Conviene tener en cuenta cinco consejos prácticos para protegerse contra los ataques. El primero es asegurar los ordenadores. No se debe explorar sitios dudosos con el ordenador profesional, ni descargar nada sin autorización del Responsable de Sistemas de Información. En segundo lugar, configurar una VPN con el CIO o socio de TI -en el caso de poder hacer trabajo remoto-. En tercer lugar, asegurarse de que el acceso a los documentos de la empresa esté supervisado adecuadamente, para evitar fugas de datos al exterior. Evitar compartir documentos como archivos adjuntos, guardar los archivos y documentos importantes en discos duros externos, o en una plataforma web confiable. El cuarto consejo es proteger los correos electrónicos de manera efectiva para evitar que las herramientas de trabajo sean portales para ataques de malware. En tiempos de crisis, muchos hackers aprovechan la vulnerabilidad y la falta de atención de las personas para infiltrarse en los servidores y robar datos personales. Por último, es recomendable asistir a seminarios que ofrecen empresas de seguridad.
En caso de ser atacado, las recomendaciones son las siguientes: si se trata de un caso de phishing y robo de datos bancarios, hay que ponerse en contacto inmediatamente con el banco a través de su aplicación interna y el teléfono. Otra recomendación es cambiar las contraseñas: nunca usar las mismas. En caso de ransomware, es imperativo desconectar inmediatamente el ordenador de la red y llamar al CIO o proveedor de tecnología.
Pero, más allá de tomar las precauciones adecuadas, conviene contar con el apoyo de expertos en el sector. En Mailinblack, empresa francesa con 15 años de experiencia en el sector de la ciberseguridad, decidimos movilizarnos para apoyar al sector de la salud como una prioridad durante este período, ofreciendo acceso gratuito a nuestros servicios. No pretendemos ser capaces de proteger una organización contra todas las amenazas que existen, pero estamos seguros de que con una solución como Mailinblack, los establecimientos de salud pueden quitarse una preocupación de encima y trabajar para salvar vidas.