No es ningún secreto que el ransomware ha sido un gran problema durante años, pero los objetivos solían abarcar todas las industrias menos el sector de la salud, hasta hace poco. Desde el inicio de la pandemia de COVID-19, los ataques de ransomware se han enfocado cada vez más en entidades de salud, con efectos devastadores.
Con la atención al paciente en juego, las organizaciones de salud ahora se apresuran a detectar y repeler ataques interminables, a menudo con resultados mixtos. El Departamento de Salud y Servicios Humanos de EE. UU. (HHS) ha respondido con nuevas pautas para las entidades de salud y un compromiso más amplio con la aplicación del cumplimiento y las sanciones.
Veamos más de cerca cómo llegamos a este punto.
La COVID-19 solo empeoró las cosas para el ransomware y la salud
Durante la pandemia, salvar vidas era la máxima prioridad en el mundo de la salud, no la ciberseguridad. Pero eso fue justo lo que aprovecharon los hackers. Los cibercriminales vieron una oportunidad para extorsionar rescates cuantiosos con mínima resistencia.
Apenas un mes después del inicio de la pandemia, el Centro de Quejas de Delitos en Internet (IC3) del FBI reportó un promedio de 3.000 a 4.000 quejas de ciberataques por día, casi el triple del promedio previo a marzo de 2020. La transición del sector de la salud al trabajo remoto, combinada con el enfoque abrumador en la atención al paciente, creó un terreno fértil para los ataques de ransomware. Los hackers explotaron vulnerabilidades en sistemas obsoletos y la mayor dependencia de plataformas digitales, exponiendo a numerosos hospitales y clínicas a brechas devastadoras que interrumpieron las operaciones durante un momento ya de por sí terrible.
Aunque la pandemia ha disminuido en su mayoría, los ataques no lo han hecho; han aumentado en cantidad y gravedad. En el último año, casi 6 de cada 10 organizaciones de salud fueron víctimas de ataques de ransomware. Hace apenas unos meses, Change Healthcare fue víctima de un ataque de ransomware que, según se informó, afectó los portales de facturación y autorización de atención, lo que provocó retrasos en recetas, pérdida de ingresos y amenazas para los sueldos de los trabajadores e incluso para la atención al paciente. El presidente y director ejecutivo de la Asociación Americana de Hospitales (AHA), Rick Pollack, calificó el ataque como “el incidente más grave de este tipo dirigido contra una organización de salud estadounidense”.
El impacto de los ataques de ransomware en el sector de la salud
Los efectos de los ataques de ransomware en las organizaciones de salud suelen ser profundos y de gran alcance. Además de las pérdidas financieras, estas brechas ponen en riesgo la seguridad del paciente y comprometen datos médicos sensibles.
Los ataques de ransomware en el sector de la salud suelen comenzar con correos de phishing o vulnerabilidades de software. Una vez activado, el ransomware cifra datos críticos en las redes del hospital, básicamente secuestrando los sistemas y todos los dispositivos conectados. Esto bloquea al personal el acceso a los registros de pacientes y a los sistemas médicos esenciales, interrumpiendo las operaciones e incluso poniendo en riesgo la atención al paciente. A partir de ahí, los atacantes suelen exigir el pago en criptomoneda a cambio de las claves de descifrado. El hospital debe entonces aislar los sistemas infectados, evaluar los daños y decidir si negocia o se recupera a partir de respaldos. Pero incluso después de la restauración, el ataque puede tener consecuencias duraderas, como daños a la reputación y sanciones regulatorias.
John Riggi, asesor de ciberseguridad y riesgo de la AHA, afirma que el ransomware se ha convertido en la mayor preocupación en el sector de la salud porque es lo que más impacta la seguridad del paciente. “Cuando los hospitales son atacados, se amenazan vidas. Esa es la realidad”, dijo. “Estos no son delitos de cuello blanco. No son delitos de robo de datos. Son delitos que amenazan la vida”.
Casos recientes, como el ataque a Change Healthcare, son recordatorios contundentes del caos que el ransomware puede causar en las instituciones de salud. Estos ataques interrumpen servicios médicos vitales y erosionan la confianza pública en su capacidad de proteger información sensible.
A pesar de la mayor conciencia, el sector de la salud sigue enfrentando desafíos persistentes para combatir el ransomware. Los sistemas obsoletos, las limitaciones presupuestarias y la escasez de experiencia en ciberseguridad son solo algunos de los obstáculos para defenderse de amenazas en evolución. Además, la interconexión de las redes de salud dificulta la defensa contra las ciberamenazas: las vulnerabilidades en una organización pueden propagarse rápidamente por todo el ecosistema.
Cómo está respondiendo el HHS
El HHS ha comenzado a emitir pautas más estrictas para las prácticas de ciberseguridad dentro del sector de la salud en respuesta al creciente panorama de amenazas. Estas pautas enfatizan medidas proactivas como las evaluaciones de riesgo, la capacitación de los empleados y protocolos exhaustivos de respuesta a incidentes. Pero eso no es todo: el HHS también ha comenzado a exigir la notificación oportuna de los incidentes de ransomware, e impone sanciones por no hacerlo.
A fines de 2023, el HHS hizo noticia con su primer acuerdo de conciliación de HIPAA vinculado a un incidente de ransomware. El HHS inició una investigación contra Doctors' Management Services (una empresa de gestión médica con sede en Massachusetts) en abril de 2019, tras un informe de brecha que indicaba una infiltración de ransomware en su servidor de red. Esta brecha provocó acceso no autorizado a información de salud electrónica protegida (ePHI) almacenada en la red. Durante su investigación, el HHS descubrió evidencia de un monitoreo deficiente de los sistemas de información de salud y la falta de políticas y procedimientos que cumplieran con los requisitos de la Regla de Seguridad de HIPAA. La empresa acordó pagar $100,000 en multas y ejecutar un plan de acción correctiva para abordar posibles violaciones de la Privacidad de HIPAA.
No esperes que este acuerdo sea el último. En sus propias palabras, el HHS ha prometido trabajar con el Congreso para "aumentar las sanciones monetarias civiles por violaciones de HIPAA y aumentar los recursos del HHS para investigar posibles violaciones de HIPAA y realizar auditorías proactivas". En otras palabras, las sanciones solo se volverán más severas a medida que el HHS reciba más recursos para buscar violaciones de HIPAA resultantes de ataques de ransomware.
Detecta a tiempo posibles ataques de ransomware y responde al instante
A medida que el ransomware sigue representando una grave amenaza para las organizaciones de salud, es fundamental tomar medidas proactivas para proteger los datos de los pacientes, resguardar las operaciones críticas y garantizar el cumplimiento normativo a medida que los estándares siguen aumentando.
