Los hospitales, un jugoso botín para los ciberdelincuentes

Los hospitales de todo el mundo se han convertido en objetivo de los ciberdelicuentes.  Su dependencia de los sistemas informáticos, las 24 horas del día los 365 del año, tanto para llevar a cabo sus funciones administrativas como clínicas, los han convertido en un suculento botín. Según el Instituto Nacional de Ciberseguridad (INCIBE), en 2022, más de 500 entidades sanitarias comunicaron incidentes, lo que supuso un aumento del 48% respecto al año anterior. 

La principal motivación que lleva a los ciberdelincuentes a atacarlos es el robo de la información clínica de los pacientes. Y es que, con estos datos tan sensibles, llevan a cabo fraudes administrativos, compran fármacos de forma ilícita, extorsionan a los centros sanitarios e incluso los venden a otros cibercriminales. Todo ello con una consecuencia gravísima; la seguridad del paciente. “Los datos sobre salud tienen una demanda muy alta entre los ciberdelicuentes por sus múltiples usos. Por ello, se encuentran en el escalón más alto de la consideración legal por parte de la legislación en vigor, y pueden ser usados como palancas para múltiples actos ilícitos, entre ellos, la extorsión”, explica a Medicina Responsable Ignacio Paños Gómez, director de Seguridad del Hospital Universitario 12 de Octubre y miembro del Observatorio de Seguridad Integral en Centros Hospitalarios (OSICH).

El último informe de ciberseguridad "El estado del ransomware en el sector sanitario 2023", elaborado por la empresa Shopos en 14 países de todo el mundo, señala que los ciberdelincuentes consiguieron cifrar los datos en casi el 75% de los ataques de ransomware (un tipo de malware o código malicioso que impide la utilización de los equipos o sistemas que infecta). Un porcentaje que supone un aumento respecto a las cifras de 2022, cuando fue del 61%.  Respecto a la contención de los ataques, solo uno de cada cuatro (24%) organizaciones del sector sanitario fueron capaces de interrumpirlos el año pasado, frente al 34% que lo consiguieron en 2022.

Además del robo de la identidad médica, el ciberataque a un hospital conlleva otros riesgos relacionados con la práctica clínica y operacional; provoca la cancelación de operaciones, resonancias magnéticas, análisis de sangre, transfusiones y citas médicas, desconfigura el funcionamiento de las máquinas, cambia medicaciones y resultados... “Es otra de las consecuencias más importantes. La parada de la actividad tiene un impacto directo sobre la salud y puede llegar a poner en riesgo la vida de los usuarios”, añade Ignacio Paños Gómez. 

El caso del Hospital Clínic de Barcelona

En los últimos años, varios centros hospitalarios y entidades del sector sanitario españoles han sido ciberatacados. “Los ciberdelicuentes están poniendo el foco en ellos y en la cadena de suministros, como parte menos protegida de la estructura de salud”, subraya el director de Seguridad del Hospital Universitario 12 de Octubre. 

Uno de los ejemplos más recientes en nuestro país lo encontramos en el Hospital Clínic de Barcelona, cuando en marzo de 2023 recibió un ciberataque proveniente de fuera de España que afectó al propio hospital y al Consorcio de Atención Primaria de Salud Catalana (CAPBSE). Es decir, a las tres sedes del hospital (Villarroel, Plató y Maternitat), y a los centros de atención primaria de Barcelona: Casanova, Borrell y Les Corts. El centro de investigación vinculado al hospital, el IDIBAPS, también se vio afectado.

Entre otras consecuencias, el centro tuvo que aplazar 150 cirugías no urgentes, 400 extracciones de sangre y entre 2.000 y 3.000 consultas externas.

El ciberataque, lanzado por la empresa Ramson House, consistió en un ramsonware que impidió a los usuarios acceder a su sistema o a sus archivos personales y que exigió el pago de un rescate para poder acceder de nuevo a ellos.

Para evitar situaciones como esta, como explica el experto, “se está haciendo un esfuerzo muy importante para que todos los sistemas, equipos e información concernientes al sistema sanitario se encuentren bajo un paraguas protector. En la Comunidad de Madrid se han creado organismos para ciberproteger y ordenar el ámbito de las tecnologías TIC”, señala.  Así, en junio, la consejería de Digitalización madrileña firmó un convenio de colaboración con el Instituto Nacional de Ciberseguridad de España para dar cobertura en ciberseguridad a las pymes del sector sanitario de la región. 

Barreras a los ciberataques

¿Cómo poner barreras a un ciberdelicuente que tiene en el punto de mira un hospital? Los expertos coinciden en que lo principal para gestionar la seguridad informática en los centros hospitalarios es realizar un buen análisis de la situación, desarrollar un planteamiento estratégico y, sobre todo, incluirlo en la agenda de la denominada Transformación Digital de los hospitales. Así, insisten en invertir en hardware, en personal técnico y en software que controle accesos no permitidos e información protegida, bloquee virus y ataques y vigile otras vulnerabilidades de la evolución tecnológica.

---