En « October 2020», se vivió una escena desgarradora en todo el país: los médicos y el personal de enfermería que atendían a los pacientes no podían acceder a los historiales médicos, las radiografías ni las tomografías computarizadas. Los hospitales de California, Oregón y Vermont se encontraban entre los muchos que perdieron el acceso a sus sistemas críticos, y afirmaron que, días y semanas después, aún no habían restablecido por completo dicho acceso.
El culpable: una serie de ataques de ransomware que llevaron a la Agencia de Ciberseguridad y Seguridad de las Infraestructuras ( ) del Gobierno a advertir a la Asociación Nacional de Hospitales ( ) de «una amenaza inminente y creciente de ciberdelincuencia para los hospitales y los proveedores de asistencia sanitaria de EE. UU.».
Aunque los atentados causaron conmoción, el hecho de que se produjeran no debería haber sorprendido a nadie. Los piratas informáticos llevan mucho tiempo dirigiendo sus ataques contra los centros sanitarios debido a su conocida dependencia de sistemas informáticos heredados, que suelen ser vulnerables. De hecho, el número de filtraciones de datos en centros sanitarios de EE. UU. aumentó considerablemente, pasando de 2010 a 2019, con un incremento del 197 % solo entre los años 2018 y 2019 , según un informe de HIPAA Journal. En total, según señala el informe, es posible que el 12.6 % de todos los datos sanitarios privados de los estadounidenses hayan sido objeto de una filtración durante el último año.
El ataque de septiembre es significativo porque los piratas informáticos consideran que el sector sanitario es hoy en día un objetivo aún más vulnerable que hace un año. Esto se debe a la pandemia actual. Los centros sanitarios se han visto desbordados por pacientes que acuden en busca de tratamiento para COVID-19–related síntomas y se han centrado más en ello que en la preparación en materia de tecnologías de la información. Además, debido al distanciamiento social, cada vez son más las personas que acceden a la asistencia sanitaria a distancia. Las consultas de telesalud con médicos se multiplicaron por 350 entre marzo y junio de 2020, según el Departamento de Salud y Servicios Humanos (HHS). Dado que hay tanta gente que comparte datos personales en Internet y a través de aplicaciones, los piratas informáticos disponen de un campo de acción mucho más amplio.
“«Dado que la telesalud es un ámbito relativamente nuevo, seguimos detectando nuevos tipos de fraude y casos de abuso de las brechas de seguridad», afirma Michael Levin , , vicepresidente de seguridad de la información empresarial de Optum, la empresa de tecnología y servicios de información sanitaria que forma parte de UnitedHealth Group. «Hemos identificado los problemas, pero no todos se han solucionado».
Los piratas informáticos se abalanzan sobre los más vulnerables
Las primeras semanas de la pandemia en EE. UU. provocaron el pánico en todo el país, mientras los centros sanitarios se esforzaban por hacer frente a una crisis que se agravaba rápidamente. Para los responsables de seguridad de la información (CISO) y los expertos en ciberseguridad, fue un período intenso de caos y confusión. En marzo, el Departamento de Salud y Servicios Humanos (HHS) prohibió las visitas no relacionadas con la COVID-19 a los centros sanitarios de los 50 estados. Como consecuencia, las consultas entre pacientes y médicos pasaron a realizarse de forma virtual a través de aplicaciones de videoconferencia como Zoom y FaceTime, a medida que el HHS flexibilizaba las restricciones de la HIPAA en los canales de telesalud disponibles.
«. Los CISO se vieron distraídos, por lo que no pudieron trabajar en los problemas de seguridad en los que normalmente se centrarían.»Drex DeFord, antiguo director de sistemas de información de Steward Health Care y Scripps Health
El precio de la rapidez fue una oleada de nuevas vulnerabilidades de seguridad. Los piratas informáticos han atacado sesiones de telemedicina realizadas a través de Zoom, , según un estudio elaborado por la división de investigación del fabricante de software de seguridad Check Point. (Desde entonces, Zoom ha reforzado sus protocolos de cifrado.)
«Había mucha desesperación», afirma Drex DeFord, antiguo director de sistemas de información (CIO) de Steward Health Care y Scripps Health —dos de las redes sanitarias más grandes de EE. UU.— y fundador de la consultora de tecnologías de la información para el sector sanitario Drexio. «Si los médicos utilizan Zoom o FaceTime, ¿cuál es la normativa al respecto? ¿Disponemos de un protocolo? «Mientras tanto, los CISO estaban ocupados con otras tareas, como intentar poner en marcha centros de pruebas desde el coche, por ejemplo, por lo que no pudieron dedicarse a los problemas de seguridad en los que normalmente se centrarían».
Los piratas informáticos no tardaron en lanzar ataques de malware. Entre marzo y abril, se registró un aumento del 117 % en las alertas de seguridad relacionadas con la reputación de direcciones IP, lo que indica un incremento del tráfico procedente de sitios web sospechosos, así como un aumento del 56 % en los incidentes de seguridad de terminales , lo que significa que un mayor número de ataques de piratería informática y malware alcanzaron sus objetivos, según un estudio conjunto September 2020 realizado por la empresa de calificación de seguridad SecurityScorecard y la organización de investigación de la dark web Dark Owl. En el informe se señalaba que el aumento de la huella digital de los proveedores de telesalud había ampliado la superficie de ataque.
[Lea también: Medidas prácticas que puede adoptar para proteger su centro sanitario]
La telesalud se ve afectada por el phishing
La confusión y la incertidumbre generalizadas que reinaron durante las primeras semanas de la pandemia también convirtieron a médicos y pacientes en blancos fáciles de los ataques de phishing de . Los piratas informáticos enviaron a los pacientes correos electrónicos muy elaborados que contenían enlaces falsos a supuestas «vacunas contra la COVID» y tratamientos.
«Los correos electrónicos de phishing eran brillantes», afirma DeFord. «Es posible que un médico reciba un mensaje que diga: “Haga clic aquí para consultar la tasa de infección por COVID de hoy en su zona”». Por supuesto, los médicos desean disponer de la información más reciente, por lo que acaban cayendo en una trampa de clics.
El objetivo del pirata informático es obtener los nombres de usuario y las contraseñas de la víctima para acceder a portales sanitarios en los que se almacenan datos valiosos. Esos discos pueden venderse por hasta 1,000 dólares en la web oscura. Los delincuentes pueden utilizar los historiales médicos electrónicos para estafar a las compañías de seguros y obtener decenas de miles de dólares mediante reclamaciones fraudulentas. Esto hace que sean mucho más valiosos que los números de tarjetas de crédito robadas (que se venden por 100 dólares) y que solo sirven hasta alcanzar sus límites de crédito.
Sin embargo, el juego del phishing se vuelve peligroso en cuanto los piratas informáticos logran acceder a la red de una organización sanitaria, tal y como ocurrió en los ataques de octubre. Allí pueden pasar desapercibidos durante meses (desde una media de 54 días hasta un máximo de 700 días).
Durante ese tiempo, los ciberdelincuentes pueden sustraer datos, instalar malware, apropiarse de los derechos de administrador de la red y, en última instancia, lanzar un ataque de ransomware como el que paralizó a UHS. Dado que la vida de sus pacientes está en juego, es muy probable que un centro pague un cuantioso rescate. De hecho, desde el año 2016, un total de 172 ataques de ransomware han supuesto a las organizaciones sanitarias estadounidenses un coste superior a los 157 millones de dólares, según un estudio February 2020 realizado por Comparitech, un sitio web de investigación sobre servicios tecnológicos dirigido a los consumidores.
Buenas prácticas en telesalud — y más allá
El sector sanitario ha salido reforzado de los primeros meses de la pandemia. En general, ha implantado mejores protocolos de cifrado y seguridad. «Desde el principio se adoptaron prácticas inadecuadas», afirma Levin, vicepresidente de seguridad de la información empresarial de Optum. «Desde entonces, todos han madurado».
Por ejemplo, las primeras consultas de telesalud a través de Zoom han dado paso a canales de videoconferencia seguros y que cumplen con la HIPAA, ya sean desarrollados internamente por los sistemas sanitarios y los hospitales, o bien adquiridos bajo licencia a proveedores externos de seguridad en la nube. El elemento clave de las directrices de la HIPAA es la protección de la privacidad de la información sanitaria de los pacientes. Durante este periodo, los responsables de seguridad de la información (CISO) que desarrollaban plataformas propias de telesalud se propusieron integrar y verificar los protocolos de cifrado y autenticación multifactorial de acuerdo con las normas de la HIPAA.
Levin también ofrece este consejo a los directores de sistemas de información (CIO) y a los directores técnicos (CTO) del sector sanitario para garantizar la seguridad de los dispositivos y la protección de los datos:
Gestione sus dispositivos finales: . Céntrese en reforzar la seguridad de los dispositivos finales y en gestionar los derechos de acceso administrativo. El software de detección y respuesta en terminales (EDR) le permite detectar intentos de intrusión en sus dispositivos por parte de agentes desconocidos. Levin también recomienda utilizar algo parecido a un «software de lista blanca», que autoriza las aplicaciones antes de que puedan ejecutarse en sus dispositivos.
Forme a su plantilla: Los ataques sofisticados de phishing, así como los ataques de «spoofing», pretenden aprovecharse de los trabajadores confiados o distraídos para penetrar en redes seguras. Según un estudio de Verizon, los errores de los empleados representan hasta el 42 % de las infracciones en el sector sanitario. La formación inicial, así como el aprendizaje y el desarrollo continuos, deberían poner de relieve estos riesgos; sin embargo, Levin señala: «No es posible eliminar el riesgo al 100 por ciento mediante la formación».
Automatice los flujos de trabajo de seguridad: . Para los administradores de redes informáticas, que se encuentran sometidos a una gran presión, la inteligencia artificial es su mejor aliado en materia de ciberseguridad:. Los avances en el aprendizaje automático no supervisado permiten que la IA supervise las redes de forma continua en busca de anomalías en los intentos de acceso, señalando las actividades sospechosas en tiempo real.
Zero-trust 24/7: The zero-trust operational model assumes every actor within a security perimeter must be authenticated at all times. Se requiere un esfuerzo minucioso para identificar y supervisar cada acceso a la red desde cada dispositivo, identificando todos sus puntos de conexión. Dicho esto, según Levin, es el mejor enfoque para reforzar la seguridad de una red sanitaria compleja.
Si algo nos ha enseñado la pandemia es que la asistencia sanitaria, incluida la telesalud, siempre tendrá que lidiar con cierta inseguridad en las redes. Sin embargo, la prueba de resistencia extrema provocada por la COVID-19 may , de hecho, ha contribuido a mejorar esa situación.
«En realidad, la situación es mucho más segura que hace seis meses», señala Levin. «La COVID es ahora algo con lo que convivimos». Entendemos que la telemedicina es algo que va a seguir existiendo durante mucho tiempo. «Esto nos ha impulsado de verdad a adoptar mejores prácticas».
Ilustración de Dan Bejar
