El potencial económico de los datos sanitarios los hace cada vez más vulnerables a los ciberataques

Los ciberataques en el ámbito sanitario están a la orden del día, pese a que la gran mayoría no llegan a hacerse públicos. Como muestran webs especializadas en seguridad informática sanitaria como Health IT Security, España no es una excepción. Ocurrió en Asturias en un intento de robo de información sanitaria, o cuando el criptogusano WannaCry obligó a los hospitales españoles a tomar medidas urgentes de protección en 2017.

Según datos del Centro Criptológico Nacional (el organismo especializado en ciberseguridad dependiente del CNI), hasta junio de 2018 había gestionado 486 incidentes en el sector de la salud en España: 314 de nivel crítico alto, 169 de nivel medio y 3 de nivel muy alto. 303 casos eran intrusiones en los sistemas y 125 ataques a través de código dañino que afectaron a los sistemas de centros sanitarios.

Numerosos expertos en seguridad informática alertan de que los ciberataques en Sanidad van en aumento. Hace unos meses, el gerente del Hospital Universitario de Fuenlabrada, Carlos Mur de Vir, explicaba que en 2018 se habían producido mucho más ciberataques en el ámbito sanitario que en los últimos 10 años.

¿Por qué ciberatacar centros sanitarios?

Son varios los factores que explican el interés de los ciberdelincuentes por atacar hospitales y centros de salud. Una razón de peso son los datos de sanitarios de los pacientes. No solo son especialmente críticos en materia de privacidad personal, sino que son también muy valiosos. En el mercado negro, un historial clínico puede llegar a valer 80 euros. Además de los datos de salud, también se encuentran datos personales que pueden utilizarse para la suplantación de identidad.

Los atacantes informáticos han desarrollado virus específicos para el robo de información médica. Pueden venderla en el callejón oscuro de Internet (la denominada 'deep web'), donde webs ocultas a los buscadores cobijan un mercado negro. El pago con bitcoins dificulta el rastreo de dinero. Entre los potenciales clientes están los entornos de empresas farmacéuticas y aseguradoras, grandes interesadas en las estadísticas sanitarias.

En 2016, un grupo cibercriminal llamado The Dark Overlord vendió alrededor de 10 millones de registros médicos por cientos de bitcoins (lo que supone centenares de miles de euros). Al elevado precio que tienen los datos de pacientes en el mercado negro se une la abundancia y variedad de vulnerabilidades en los dispositivos médicos y los ordenadores en el campo de la sanidad, que seducen a los hackers para atacar con fines económicos o incluso como entrenamiento para sus ataques.

Además del robo de datos, los ciberataques también se dirigen a la extorsión económica. Bloquean o entorpecen la atención sanitaria, llegando al extremo de poner en riesgo a los pacientes, hasta que los responsables de los centros paguen cierta cantidad de dinero. En 2017, cuando el ransomware WannaCry afectó de lleno al Servicio Nacional de Salud de Reino Unido, los profesionales sanitarios se encontraron con que no podían acceder a los registros de sus pacientes. Miles de citas médicas se cancelaron y las cuentas de email se suspendieron.

En 2016, un hospital de Los Ángeles se vio obligado a pagar casi 17.000 dólares en bitcoins a los piratas informáticos para que desbloquearan la red de ordenadores después de una semana sin poder acceder a ellos. En 2018, una cuarta parte de los habitantes de Singapur sufrió el peor ciberataque de su historia: se filtraron 1,5 millones de datos de pacientes procedentes del sistema de salud del país, en un intento de los hackers para chantajear al primer ministro con información comprometida. Otros ataques han provocado errores en listas de espera y la paralización de diagnósticos, tratamientos o cirugías en diferentes países.

Las vulnerabilidades en la ciberseguridad sanitaria

En el campo de la ciberseguridad es popular un dicho que dice que los mayores agujeros de seguridad informática se encuentran sentados frente a las pantallas de los ordenadores. El factor humano está detrás de la mayoría de los riesgos de ciberseguridad. Las contraseñas débiles (por ejemplo: 123456) o apuntadas en post-its a la vista en los escritorios son dos de los errores más comunes. Otro riesgo crítico es que trabajadores sanitarios abran emails sospechosos que contienen troyanos o virus.

En los últimos años, además, han proliferado dispositivos médicos que están conectados a Internet. Estas tecnologías favorecen el intercambio de datos entre profesionales sanitarios de diferentes centros, pero también abren una potencial puerta a visitantes indeseados para lanzar sus ataques y acceder a datos médicos.

El año pasado, investigadores en ciberseguridad emplearon Shodan (un buscador de dispositivos conectados a Internet) para buscar dispositivos sanitarios conectados a la red de redes. Se encontraron con una gran cantidad de servidores, bases de datos médicas, interfaces de usuario y redes de hospitales (mal configuradas) expuestos en Internet que no deberían ser visibles públicamente. Entre la multitud de servidores expuestos se encontraron con aquellos que almacenan y procesan imágenes médicas procedentes de TAC, resonancias magnéticas y rayos X. También encontraron interfaces con registros sanitarios.

No es ninguna sorpresa que el fundador de una de las empresas de ciberseguridad más importantes del mundo, Gil Shwed, declarara recientemente en una entrevista en eldiario.es que “los hospitales de todo el mundo son probablemente el eslabón más débil de la ciberseguridad. Se trata de un entorno muy abierto que utiliza muchos dispositivos diferentes de distintos fabricantes. La mayoría de estos dispositivos son bastante antiguos en términos de software, hacen el trabajo médico, pero desde una perspectiva tecnológica, es fácil penetrar en ellos y la gente lo explotará”.

Otro factor de riesgo adicional son las vulnerabilidades propias de ciertos dispositivos médicos. Sanidad alertó hace dos meses sobre determinadas bombas de insulina porque eran susceptibles de ser hackeadas, modificando su configuración y el suministro de la dosis. El 21 de marzo de este año la Agencia del Medicamento de Estados Unidos (FDA) ordenó la retirada de más de 150.00 marcapasos de Medtronic por graves errores de su software. La comunicación inalámbrica con estos dispositivos carecía de protocolos de autenticación ni cifrado de datos, lo que, unido a la existencia de otras vulnerabilidades, hacía posible acceso de hackers al firmware para alterar el funcionamiento de estos marcapasos, poniendo en grave riesgo a las personas con estos marcapasos. El pasado abril, un grupo de piratas informáticos demostró lo sencillo que es trucar escáneres médicos para poner un cáncer en pacientes donde, en realidad, no lo hay, engañando a los médicos con facilidad.

Los expertos en seguridad informática son conscientes de estos riesgos y aconsejan una vigilancia constante de las redes y equipos sanitarios. También una actualización del firmware de dispositivos vulnerables y una educación de los trabajadores para evitar caer en los constantes ataques de los hackers.