Protegerse contra ataques catastróficos de ransomware comienza por entender cómo los grupos de ransomware profesionalizados han evolucionado de tácticas de "rociar y rezar" a campañas sofisticadas y dirigidas.

IA y phishing

El phishing sigue siendo uno de los métodos más confiables que tienen los atacantes para obtener acceso inicial; esto es especialmente cierto en un entorno hospitalario de ritmo acelerado, donde los empleados están bajo presión y distraídos.

La IA generativa ha hecho que la ingeniería social sea aún más efectiva. Las señales típicas, como los errores gramaticales, prácticamente han desaparecido, mientras que el reconocimiento asistido por IA ha permitido mensajes hiperpersonalizados al recopilar detalles organizacionales y personales de las redes sociales y otras fuentes públicas. Según la Agencia de la Unión Europea para la Ciberseguridad (ENISA), el phishing asistido por IA representa el 80% de la actividad de ingeniería social a nivel mundial.

Una amenaza emergente implica el uso de tecnología deepfake para clonar las voces o incluso las imágenes de video de ejecutivos, con el fin de engañar a los empleados para que hagan transferencias bancarias, restablezcan contraseñas u otorguen privilegios más altos.

Ransomware que amenaza vidas

En el contexto de la salud, el ransomware no es simplemente un delito de datos; cada vez se reconoce más como una amenaza para la vida. Los atacantes de hoy aprovechan el hecho de que el tiempo de inactividad en el sector salud puede afectar directamente la atención y la seguridad de los pacientes. La interrupción operativa puede retrasar pruebas y procedimientos médicos, aumentar los errores médicos y obligar a derivar pacientes a otros hospitales, lo que provoca saturación. Todo esto contribuye a un mayor riesgo de mortalidad.

Esta "presión del tiempo de inactividad" es un punto de apalancamiento muy efectivo, que los atacantes suelen potenciar aún más estableciendo plazos cortos que obligan a las juntas hospitalarias a tomar decisiones rápidas.

Cierres del 911 y de servicios de emergencia

Cada vez más, los atacantes apuntan a las redes de despacho del 911, especialmente a las agencias más pequeñas que pueden tener menos recursos de ciberseguridad. Estos ataques amenazan con inhabilitar el despacho asistido por computadora (CAD) y las comunicaciones por radio, obligando a los despachadores a usar registros en papel y radios manuales, lo que aumenta los tiempos de respuesta cuando cada segundo cuenta.

La mejor manera de prevenir ataques de ransomware en hospitales es mediante la "defensa en profundidad". Este enfoque en capas garantiza que si un control falla, otros estén en su lugar para detener al atacante.

Capacitación en concientización de seguridad

Las presentaciones tradicionales, enfocadas en cumplimiento, hacen poco para mejorar la susceptibilidad al phishing. La capacitación administrada de concientización de seguridad (SAT) moderna usa narrativas atractivas e inteligencia de amenazas actual para ofrecer lecciones continuas y relevantes que generan un impacto medible. Las simulaciones de phishing realistas y la capacitación justo a tiempo aseguran que los empleados conecten las amenazas con su día a día, ayudando a construir una primera capa de defensa humana.

Protecciones sólidas de identidad

En todas las industrias, las fuerzas laborales híbridas y los espacios de trabajo en la cloud han puesto a la identidad en la primera línea. Esto es especialmente cierto en el sector salud, donde los clínicos acceden rutinariamente a una gran cantidad de estaciones de trabajo en el punto de atención y el personal administrativo interactúa con cientos de pacientes, aseguradoras y servicios de terceros.

La autenticación multifactor (MFA) obligatoria es esencial para protegerse contra el mal uso de credenciales. Los hospitales deberían ir un paso más allá con autenticación multifactor (MFA) resistente al phishing. Estos métodos incluyen passkeys, llaves de hardware (llaves FIDO2) o toques de credencial, que ayudan a garantizar que incluso si un atacante roba la contraseña de un médico, no pueda tomar control de la cuenta.

La gestión de la postura de seguridad de identidades (ISPM) monitorea continuamente las identidades en busca de riesgos como cuentas inactivas, privilegios excesivos y configuraciones incorrectas para que puedan resolverse antes de que los atacantes las encuentren.

La detección y respuesta de amenazas de identidad (ITDR) proporciona detección y respuesta para cuentas, credenciales y sistemas de directorio. ITDR monitorea señales de mal uso de identidad, incluyendo viajes imposibles, escalación de privilegios y uso sospechoso de tokens. Luego puede emitir desafíos de seguridad adicionales automáticos o aislar la cuenta.

Fortalecimiento y monitoreo continuo de endpoints

La ciberseguridad moderna ya es lo suficientemente compleja sin invitar a los atacantes a entrar. Es fácil que las configuraciones incorrectas, el software sin parches, las aplicaciones no autorizadas y otras vulnerabilidades se cuelen en el número cada vez mayor de endpoints de una organización. Así como ISPM fortalece las identidades, la gestión de la postura de seguridad de endpoints (ESPM) busca proactivamente brechas de seguridad para que los equipos puedan cerrarlas antes de que los adversarios las exploten.

Con las amenazas sofisticadas de hoy, la defensa moderna no puede detenerse en la prevención. Los atacantes usan cada vez más técnicas sigilosas como el malware polimórfico o sin archivos y el living off the land (LotL) para evadir la detección. El antivirus (AV) tradicional es una valiosa primera capa de protección, pero se enfoca principalmente en buscar firmas de malware conocidas y a menudo pasa por alto el malware personalizado. El AV debe combinarse con una herramienta que monitoree comportamientos, como la detección y respuesta de endpoints (EDR).

EDR monitorea estaciones de trabajo, laptops, servidores y otros dispositivos en busca de comportamientos inusuales, como un lector de PDF que genera PowerShell o el cifrado rápido de archivos. EDR puede detener automáticamente el proceso y aislar el dispositivo para evitar que el ataque se propague.

Segmentación de sistemas críticos

La segmentación de red es una estrategia crucial para contener el posible radio de impacto de un ataque. Funciona como los compartimentos estancos separados del casco de un barco, que pueden sellarse para evitar que el barco se hunda en caso de una brecha.

Esto es especialmente crítico para reducir el riesgo de ransomware en entornos de salud, donde muchos dispositivos de internet de las cosas médicas (IoMT), como las bombas de infusión, son difíciles de parchear. El equipo médico debe estar contenido en su propia red de área local virtual (VLAN), al igual que los entornos administrativos (portales de facturación), clínicos (servidores EHR) y públicos.

Pruebas de respaldo

En los ataques de ransomware, los respaldos son la póliza de seguro definitiva, razón por la cual los atacantes los atacan cada vez más. Los defensores contrarrestan esto siguiendo la "regla 3-2-1-1-0".

• 3 copias totales de los datos
• 2 tipos de medios diferentes
• 1 copia externa (fuera del sitio)
• 1 copia sin conexión (aislada del acceso a la red/inmutable)
• 0 errores durante las pruebas automatizadas de respaldo

Las claves de esta estrategia son la copia inmutable, es decir, que no se puede cambiar ni eliminar hasta que haya pasado un período determinado, y probar periódicamente los respaldos para garantizar la recuperación.

Los hospitales enfrentan un desafío único al equilibrar la atención al paciente con la seguridad. Cuando la seguridad agrega demasiada fricción, el personal encuentra soluciones alternativas, como pegar contraseñas en los monitores o dejar sesiones abiertas al alejarse. Las credenciales de proximidad "tap-and-go" pueden ayudar con esto, pero tienen sus propios desafíos (ver abajo). Los planes de seguridad también deben incluir procedimientos de "rotura de vidrio" que permitan acceso inmediato en emergencias. Estos deben activar una alerta de alta prioridad y una auditoría automática para garantizar el uso adecuado.

Los sistemas heredados y los dispositivos médicos también introducen numerosas vulnerabilidades potenciales. Los costosos escáneres de resonancia magnética y tomografía computarizada suelen funcionar con sistemas operativos obsoletos que no se pueden parchear ni ejecutar EDR. Estos deben protegerse mediante medidas como la segmentación y firewalls estrictos.

Tras una brecha, el incumplimiento de la normativa HIPAA puede sumar multas elevadas, además de los costosos procesos de remediación, notificación y daño reputacional. Una infracción de "Nivel 4" (negligencia deliberada no corregida) puede tener un tope de penalización anual de más de $2 millones por categoría de infracción. Además, las actualizaciones propuestas a la Regla de Seguridad de HIPAA buscan fortalecer muchos de los requisitos.

Sin embargo, si una organización puede demostrar que implementó "prácticas de seguridad reconocidas" —como las Prácticas de Ciberseguridad del Sector Salud (HICP) del HHS— durante al menos 12 meses antes de una brecha, la Oficina de Derechos Civiles (OCR) puede reducir las multas y acortar las investigaciones.

Los hospitales enfrentan desafíos adicionales de ciberseguridad por el volumen de tráfico físico y digital que manejan.

Médicos, enfermeras y personal administrativo suelen usar computadoras compartidas y credenciales tap-and-go para iniciar sesión rápidamente. Si una credencial se deja en una bata de laboratorio o en un mostrador, un atacante puede tomarla y acceder a datos sensibles. Las credenciales de proximidad pueden equilibrar la velocidad y la seguridad con un enfoque de "MFA ligera" (por ejemplo, exigir un PIN cada cuatro a ocho horas). Los sistemas también deben configurarse para bloquear automáticamente la pantalla cuando ya no se detecte la señal de la credencial.

La seguridad de un hospital es tan fuerte como su proveedor más débil. Debido a que terceros como empresas de facturación y servicios de transcripción tienen acceso remoto a las redes del hospital, los atacantes podrían aprovechar el acceso legítimo del proveedor. Los hospitales pueden protegerse adoptando un modelo de Zero Trust, usando controles como el principio de privilegio mínimo, el acceso basado en identidad o el acceso just-in-time.

La Huntress Agentic Security Platform ayuda a las organizaciones de salud a capacitar a sus equipos, reforzar identidades y endpoints, y detectar y responder a amenazas con rapidez, conteniendo ataques de ransomware antes de que avancen. Además, todo esto cuenta con el respaldo de el centro de operaciones de seguridad (SOC) experto, disponible 24/7.

Más información