¿Qué es un RANSOMWARE?

La palabra proviene del inglés ransom: rescate, y ware: acortamiento de software. En su definición más directa, es un tipo de programa malicioso que toma como rehén la información digital de una organización: cifra sus archivos, bloquea el acceso a sus sistemas y exige un pago, habitualmente en criptomonedas, a cambio de devolver ese acceso. 

 

¿Y por qué sucede en el sistema de salud?

Lo que hace al ransomware particularmente peligroso en el sector salud no es solo su capacidad técnica, sino 4 puntos principales. En primer lugar, los hospitales no pueden esperar cuando un sistema de historias clínicas queda cifrado, cuando los resultados de laboratorio son inaccesibles, cuando las órdenes de medicación desaparecen de las pantallas, el tiempo que transcurre hasta la recuperación es crítico. En segundo lugar, las organizaciones de salud contienen múltiples datos sensibles que pueden ser usados como rehenes. 

En tercer lugar y reforzando los previos, la caída del sistema se asocia a pérdidas económicas, y por sobre todo al aumento de riesgos para los pacientes. En cuarto lugar, los sistemas de salud —tanto públicos como privados— acumulan décadas de infraestructura IT heterogénea, con equipos obsoletos difíciles de actualizar sin interrumpir la operación clínica, presupuestos de ciberseguridad acotados en favoreciendo a la brecha tecnológica que transforma a estos sistemas en blancos vulnerables.

¿Y cómo ingresan al sistema?

La vía de entrada más frecuente es el phishing: correos electrónicos diseñados para parecer legítimos que contienen archivos adjuntos maliciosos o enlaces que, al abrirse, instalan malware en el equipo de la víctima. Otras vías podrían ser USB infectados, vulnerabilidades en VPN. Nótese que son claves las debilidades en el factor humano  así como también los softwares desactualizados.

 

¿Y cómo funciona técnicamente?

Sin meternos en demasiados detalles podemos decir que uno de los mecanismos centrales del ransomware es el cifrado criptográfico.  Esto quiere decir que una vez que el programa malicioso ingresa a un sistema, genera una clave única y la utiliza para codificar los archivos de la organización, volviéndolos completamente ilegibles sin esa clave. La víctima recibe entonces un mensaje en sus pantallas con las instrucciones para el pago y la promesa, no siempre cumplida, de que al pagar recibirá la clave de descifrado que restaurará el acceso. 

Otra de sus características maliciosas es que al ingresar a un sistema se mueven lateralmente afectando distintos aplicativos y sistemas. Incluso también en algunos casos pueden exfiltrar datos antes del bloqueo.

Haremos un breve recorrido de los ataques de ransomware en el ámbito de salud: primero mencionaremos cuando tuvo lugar el primer suceso y cómo sucedió. Luego cuando fue el primer ataque hacia un hospital y por último cuál fue el primer ataque que tuvo impacto nacional.
El primer ataque sucedió en 1989 cuando  diversas personas de todo el mundo recibieron por correo postal un disquete supuestamente enviado por la OMS que contenía un software capaz de predecir el riesgo de desarrollar SIDA. 

Al introducirlo en la computadora, el código malicioso se activaba ocultando directorios y cifrando los nombres de los archivos del disco C, dejando al usuario sin acceso a su información, y mostrando un mensaje que advertía que tendría que realizar un pago para revertir la situación. Para realizar el pago, había que  enviar un cheque de 189 dólares a un apartado postal en Panamá. Este esquema de extorsión estableció el principio básico del ransomware: utilizar el secuestro de información como herramienta de presión económica.

Por suerte, no colapsó hospitales ni paralizó infraestructuras críticas. Sin embargo, introdujo un concepto que hoy sigue siendo el núcleo del ransomware moderno: bloquear el acceso a un sistema y exigir un pago para restaurarlo. Y el primer ataque contra un hospital tuvo lugar en el 2016, cuando miembros del personal del Hollywood Presbyterian Medical Center, en Los Ángeles, reportaron a sus supervisores que no podían acceder a la red. 

El ransomware exigía 40 Bitcoin, equivalentes a aproximadamente 17.000 dólares, para que el hospital recuperara el acceso. Los médicos reportaron que no podían acceder a las historias clínicas de los pacientes ni compartir radiografías, tomografías u otros estudios. Algunos pacientes fueron derivados a hospitales cercanos y el personal tuvo que recurrir al papel para la admisión de pacientes. Finalmente el hospital realizó el pago del rescate siendo el primer caso documentado y público.

 

¿Cuándo fue el primer ataque a escala global con impacto nacional en salud? 

En 2017 llegó el salto cualitativo más importante, uno de los mayores ciberataques a escala internacional hasta la fecha, que dejó a los hospitales inoperativos al dejar de funcionar los sistemas esenciales. Afectó a nivel global a 150 países, y su propagación fue a través de Windows. En este caso se detalla como el Servicio Público de Salud del Reino Unido fue uno de los más  afectados por el WannaCry. Se cancelaron miles de intervenciones  y el personal no pudo acceder a los historiales de los pacientes ni siquiera utilizar los sistemas telefónicos. El ataque infectó al menos 81 de los 236 hospitales del NHS en Inglaterra, más 603 centros de atención primaria. Cinco departamentos de emergencias fueron forzados a cerrar y derivar pacientes. 

 

¿Cómo sucedió? 

Casi dos meses antes, Microsoft había lanzado un parche de seguridad para EternalBlue, el exploit que los atacantes usaron para propagar el ransomware WannaCry. El primer artículo fue publicado el 29 de diciembre de 2022 en JAMA Health Forum, una revista de acceso abierto del grupo JAMA (Journal of the American Medical Association). Se denomina "Tendencias en los ataques de ransomware contra hospitales, clínicas y otras organizaciones de atención médica en EE. UU., 2016-2021." Los autores pertenecen a la Universidad de Minnesota (Escuela de Salud Pública y Facultad de Derecho) y la Universidad de Florida. Se trata de un estudio de cohorte observacional.

El objetivo del mismo es cuantificar la frecuencia y características de los ataques ransomware a organizaciones de salud en EEUU entre 2016 y 2021, y describir cómo estas características cambiaron a lo largo del tiempo. El segundo artículo fue publicado el 2024 en el Journal of Information Technology Teaching Cases (JITTC), una revista académica de la Association for Information Technology Trust y es denominado en español "Cuando la atención médica enferma: Recuperándose del ransomware". Se trata de una publicación especializada en la descripción de un caso de ataque de ransomware. El objetivo principal del artículo es describir y analizar pedagógicamente el ataque ransomware sufrido por el Health Service Executive (HSE) de Irlanda en mayo de 2021, con el fin de que puedan extraer lecciones aprendidas. No es un estudio empírico cuantitativo sino un estudio de caso cualitativo con formato pedagógico. La metodología consiste en la construcción narrativa del caso a partir de fuentes primarias y secundarias: incluyendo el informe independiente post-incidente encargado de la consultora, informes oficiales del HSE, cobertura mediática verificada y documentación institucional.

 

Conclusiones

El primer artículo hace referencia a cuánto pasa y cómo están creciendo los ataques de Ransomware en salud. Y el segundo artículo muestra por qué suceden los ataques de Ransomware, cómo se ven desde adentro y cuáles son las lecciones aprendidas.

Es un arco que va de la evidencia a la experiencia, de lo macro a lo micro.

A modo de cierre sabemos que los dos artículos analizados en esta presentación, aunque radicalmente distintos en su metodología y escala, convergen en una misma conclusión incómoda: la amenaza del ransomware en el sector salud no es sólo un problema tecnológico que se resuelve con mejores herramientas. Es un problema humano, organizacional y de gobernanza que se manifiesta a través de la tecnología.

"La seguridad no es un producto, es un proceso.”

— Bruce Schneier, Secrets and Lies (2000)

 

Referencias bibliográficas 

1. Neprash HT, McClave CC, Cross DA, Virnig BA, Puskarich MA, Huling JD, et al. Trends in ransomware attacks on US hospitals, clinics, and other health care delivery organizations, 2016-2021. JAMA Health Forum. 2022 Dec 29;3(12):e224873. doi: 10.1001/jamahealthforum.2022.4873. PMID: 36580326; PMCID: PMC9856685. Disponible en: https://pmc.ncbi.nlm.nih.gov/articles/PMC9856685/
2. Mashinchi MI, Acton T, Datta PM. When healthcare becomes sick: recovering from ransomware. J Inf Technol Teach Cases. 2024;0(0):1-10. doi: 10.1177/20438869241279443. Disponible en: https://journals.sagepub.com/doi/pdf/10.1177/20438869241279443

 

 

Accedé al video completo a través de este enlace.