El exinstructor de ciberinteligencia israelí Ohad Zaidenberg conoce de sobra las innumerables formas en que los adversarios extranjeros aprovechan los momentos de incertidumbre para socavar la seguridad nacional.
En « March 2020», preocupado por que las instituciones sanitarias —notoriamente desprotegidas— se enfrentaran pronto a ciberataques de gran envergadura mientras el mundo se preparaba para una pandemia global, Zaidenberg cofundó , la CTI League, dedicada a la inteligencia sobre ciberamenazas . Piense en ello como una fuerza de defensa global, una organización sin ánimo de lucro que recurre a expertos voluntarios en ciberseguridad para frustrar los ataques contra centros sanitarios.
«Creé la CTI League para participar en esta lucha mundial contra la pandemia y para garantizar que nadie perdiera la vida a causa de un ciberataque durante este delicado momento», afirma Zaidenberg. Entre los cofundadores de la liga « » también se encuentran los responsables de seguridad Marc Rogers, de Okta, y Christopher Mills y Nate Warfield, de Microsoft.
Cuando apareció por primera vez la COVID-19, la idea de que alguien pudiera aprovecharse de una situación tan grave para perturbar la atención sanitaria podría haber parecido inconcebible. Sin embargo, por esas mismas fechas, varias bandas de ciberdelincuentes comenzaron a extorsionar a centros de ensayo de vacunas. Un grave ataque de ransomware interrumpió las operaciones y retrasó las intervenciones quirúrgicas en el Hospital Universitario de Brno « » , en la República Checa, otro importante centro de realización de pruebas de COVID-19.
Desde que comenzó la pandemia, la CTI League ha ayudado a numerosos hospitales, empresas farmacéuticas y proveedores a hacer frente a una amenaza de seguridad cada vez mayor por parte de actores malintencionados que atacan a la población mundial en el momento en que se encuentra más vulnerable. El mensaje de la liga: el sector sanitario debe prepararse para lo peor.
Aumentan los casos de ransomware
Los ataques de ransomware, que casi siempre comienzan con una estafa de phishing del tipo « » (), han afectado con especial dureza al sector sanitario con la propagación de la COVID-19. Una encuesta de Netwrix, « » ( 2021 ), , reveló que casi el 40 % de las organizaciones sanitarias se enfrentaron a ataques de ransomware basados en la nube en 2020, y que el 32 % tardó varios días en detectar fugas accidentales de datos y vulneraciones en la cadena de suministro, lo que las dejó peligrosamente expuestas. Por otra parte, los investigadores de VMware Carbon Black detectaron 239.4 millones de intentos de ataques de tipo « » dirigidos a organizaciones sanitarias en 2020, con una media de 816 intentos por terminal, lo que supone un aumento del 9,851 % respecto a 2019.
Muchos ataques se basaban en lo que se conoce como «salto de isla de», una técnica en la que los delincuentes aprovechan un ataque contra una organización para provocar infecciones secundarias en otras organizaciones, socios y pacientes.
Esta práctica es similar a la forma en que se cree que los espías rusos llevaron a cabo un ataque informático a gran escala contra la cadena de suministro de los sistemas del Gobierno de EE. UU. a finales de 2019. El año pasado, agentes de introdujeron código en los servidores de SolarWinds, una importante empresa proveedora de software. Esa vía es similar a la de , una serie de ciberataques que se cree que fueron obra del Gobierno de Corea del Norte, el cual se infiltró en empresas y organismos gubernamentales encargados de la distribución de la vacuna contra el coronavirus de Pfizer.
Investigadores del Departamento de Seguridad Nacional y de IBM consideran que los delincuentes intentaban sustraer las credenciales de acceso a la red de ejecutivos y funcionarios relacionados con el proceso de almacenamiento en «cadena de frío» de la vacuna de Pfizer, que debe mantenerse a una temperatura mínima de menos 76 grados Fahrenheit hasta poco antes de la vacunación.
Los ataques se disparan
«El sector sanitario ha experimentado un aumento desmesurado de los ataques, muchos de los cuales tienen su origen en la cadena de suministro», afirma Marc Moring, director de cuentas estratégicas de Tanium. «Si lo piensa bien, el sector está dejando atrás los bolígrafos y los blocs de notas. Todo se está digitalizando. Es probable que una organización sanitaria, un proveedor o un distribuidor medio cuente con cientos de aplicaciones que utilizan decenas de miles de usuarios en miles de dispositivos finales. «Todas esas instancias digitales representan objetivos potenciales: oportunidades para entorpecer la administración de vacunas y otros tratamientos tan necesarios».
Moring afirma que es probable que los ataques contra organizaciones sanitarias, proveedores y distribuidores se intensifiquen y causen estragos. Por ejemplo, los piratas informáticos podrían reducir el número de dosis de vacunas que un centro sanitario recibe de una empresa farmacéutica, digamos, de 1 millón a 100, lo que obligaría a los centros a rechazar a los pacientes. Los piratas informáticos también podrían manipular las cifras de citas para que parezca que no hay nadie a la espera, cuando, en realidad, hay cientos de personas esperando a ser atendidas por médicos o enfermeros. O bien, los piratas informáticos podrían ordenar a los repartidores que transporten la mercancía a lugares apartados con la esperanza de que las vacunas, sensibles a la temperatura, se echen a perder.
[Lea también: Seguridad de la cadena de suministro: ¿cómo debería ser una buena práctica?]
Los expertos afirman que detrás de muchos de estos ataques se encuentran bandas de ciberdelincuentes que pretenden hacerse con datos confidenciales de pacientes para venderlos en la dark web. Mientras los proveedores se apresuran a administrar vacunas al mayor número posible de personas, los piratas informáticos están engañando a empleados sanitarios y pacientes desprevenidos para que hagan clic en enlaces y archivos adjuntos de correos electrónicos de phishing aparentemente inofensivos que ejecutan TrickBot y programas de ransomware como Ryuk para infectar a las organizaciones.
La amenaza se volvió tan generalizada a finales del año pasado que la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA), el Departamento de Salud y Servicios Humanos (HHS) y el FBI emitieron una advertencia en términos muy contundentes sobre «una amenaza creciente e inminente de ciberdelincuencia para los hospitales estadounidenses y otros proveedores de asistencia sanitaria».
«No es de extrañar que los delincuentes cometan actos crueles», afirma John Pescatore, director de tendencias emergentes en seguridad del Instituto SANS. «Están buscando formas de ganar dinero rápidamente». «Y siempre que hay prisa, como en el caso de la distribución de las vacunas durante la pandemia, saben que los seres humanos cometen errores».
Protección de los dispositivos finales
El Dr. Russell Handorf, antiguo informático del FBI y hacker principal de inteligencia sobre amenazas en White Ops, afirma que la forma más lógica de que las organizaciones sanitarias aumenten su seguridad sería evaluar las prácticas de identidad y acceso en relación con los millones de dispositivos terminales que tienen actualmente en funcionamiento.
«Todo empieza por el terminal, ya que es la puerta de entrada al acceso a la red», afirma. «Puede disponer de cortafuegos y otros sistemas de seguridad distribuidos de manera uniforme por toda su red para construir murallas de castillo. «Pero sus puntos finales siguen siendo los accesos por los que todo el mundo pasa para entrar en el castillo».
«. Los puntos finales siguen siendo los portales por los que todo el mundo pasa para acceder al castillo.»El Dr. Russell Handorf, antiguo informático del FBI y hacker principal de inteligencia sobre amenazas en White Ops
Handorf afirma que muchas organizaciones se centran en supervisar y limitar el tráfico que intenta infectar los dispositivos finales mediante ataques de denegación de servicio distribuido (DDoS) o ataques de inyección de lenguaje de consulta estructurado (SQL). Sin embargo, afirma que las medidas estratégicas más eficaces en la actualidad consisten en validar y conceder acceso a los usuarios autorizados, así como en bloquear las numerosas solicitudes no autorizadas.
«Si tuviera que temer algo en estos momentos en el ámbito sanitario, sería el riesgo que entraña la administración de vacunas y otros medicamentos utilizando estos criterios de valoración», afirma Handorf. «Estoy convencido de que las empresas farmacéuticas están adoptando las medidas adecuadas para fabricar, distribuir y realizar el seguimiento de sus productos. «Pero basta con que una sola persona conecte por error un ordenador portátil sin proteger para que esa última etapa de la entrega se complique».
Poner en práctica las medidas de seguridad
Los dispositivos finales constituyen el punto débil de la seguridad en el sector sanitario. Los expertos afirman que las organizaciones deben disponer de visibilidad en toda una infraestructura informática integrada. Entre las buenas prácticas de seguridad informática se incluyen la ejecución de programas de detección y prevención de anomalías de comportamiento, la realización de ejercicios periódicos de búsqueda de ciberamenazas para localizar sistemas comprometidos y la aplicación de la autenticación multifactorial, que permite frustrar la mayoría, si no todos, los intentos de phishing.
Los responsables también deben actualizar los acuerdos de nivel de servicio (SLA) con las organizaciones colaboradoras, estableciendo los niveles de seguridad de la información, los procesos de notificación y respuesta en caso de que se produzcan incidentes, y definiendo posteriormente las consecuencias del incumplimiento. Estos acuerdos de nivel de servicio (SLA) no solo deberían aplicarse a la cadena de suministro tradicional, sino también a la cadena de suministro de información, que a menudo se pasa por alto, y que incluye a abogados externos, empresas de marketing y otros proveedores que suelen ser blanco de los piratas informáticos.
[Lea también: La higiene informática comienza con la detección y el inventario de activos]
Pescatore está de acuerdo en que es importante establecer requisitos de seguridad obligatorios a lo largo de toda la cadena de suministro. Sin embargo, afirma que las organizaciones sanitarias y farmacéuticas también deben asegurarse de que están actuando correctamente.
«No basta con imponer los requisitos de seguridad más estrictos que se le puedan ocurrir si usted mismo no los cumple», afirma. «Si no lo es, usted es el eslabón débil de la cadena». Lo primero que debe hacer es proteger su propia vivienda. «Y entonces podrá empezar a buscar proveedores con el fin de que alcancen su nivel».