Publicado: 2/12/2025
Escrito por: Lizzie Danielson
El ataque de ransomware Synnovis afectó infraestructura de TI crítica dentro del sistema del NHS, específicamente impactando a Synnovis, un proveedor de servicios de diagnóstico. Este ciberataque provocó una interrupción significativa de los servicios de salud, comprometiendo tanto los datos de los pacientes como los sistemas de prestación de atención. Su impacto repercutió en todo el NHS y generó dudas sobre la preparación en ciberseguridad en industrias sensibles como la salud.
El ataque de ransomware Synnovis paralizó los servicios de salud en partes del Reino Unido al cifrar sistemas críticos. Diseñado para interrumpir operaciones y extraer compensación financiera, el ransomware también expuso vulnerabilidades en los sistemas de TI de salud. Aunque no se sabe con certeza qué variante de ransomware se usó, su propósito era claro: obtener ganancias financieras a costa de la prestación de servicios de salud.
El ataque se reportó a finales de junio de 2023, y sus efectos se extendieron durante las semanas siguientes. Esta cronología provocó interrupciones operativas prolongadas, lo que resalta las consecuencias del tiempo de inactividad prolongado causado por el ransomware.
Las identidades de los actores de amenazas detrás del ataque de ransomware Synnovis siguen siendo desconocidas. Sin embargo, los expertos en ciberseguridad sospechan de un grupo cibercriminal sofisticado debido a la escala del ataque y su enfoque en infraestructura crítica de salud.
El ataque explotó principalmente vulnerabilidades conocidas en sistemas de TI desactualizados. Los informes sugieren que el ransomware ingresó a través de correos de phishing o conexiones débiles de protocolo de escritorio remoto (RDP), un punto de entrada común para los ciberataques. Una vez dentro, el ransomware se propagó rápidamente por los sistemas interconectados, bloqueando archivos y exigiendo pagos de rescate a cambio de las claves de descifrado.
La víctima principal del ataque de ransomware fue Synnovis, junto con servicios relacionados del NHS. Estas interrupciones afectaron los servicios de diagnóstico y laboratorio, impactando indirectamente a los pacientes que dependían de diagnósticos y tratamientos oportunos.
No se dieron a conocer las exigencias exactas del rescate. Sin embargo, este tipo de ataques suele involucrar exigencias en criptomoneda, a menudo por millones de dólares. Las autoridades no confirmaron si se realizó algún pago.
El ransomware Synnovis funcionaba cifrando archivos de datos sensibles mediante algoritmos criptográficos avanzados. No solo atacaba bases de datos, sino también máquinas virtuales y sistemas de copia de seguridad, lo que dificultaba la recuperación sin claves de descifrado o medidas de mitigación adecuadas.
Los atacantes emplearon tácticas como phishing, movimiento lateral a través de redes comprometidas y explotación de vulnerabilidades de software. Las técnicas clave incluyeron ataques de fuerza bruta por RDP, robo de credenciales y cifrado de sistemas críticos.
Direcciones IP con actividad inusual
Nombres de dominio sospechosos vinculados a servidores de comando y control (C2) de malware
Extensiones de archivo alteradas para indicar cifrado, como ".locked"
Picos repentinos en el uso de CPU asociados con procesos de cifrado.
El ataque causó un tiempo de inactividad operativo enorme en los servicios de diagnóstico del NHS, lo que generó retrasos en la atención de pacientes, mayor carga administrativa y riesgos potenciales para los resultados de los pacientes. Las pérdidas financieras derivadas de la interrupción de operaciones y los esfuerzos de recuperación fueron significativas, aunque no se revelaron cifras específicas.
Los esfuerzos de recuperación involucraron la colaboración entre los equipos de ciberseguridad del NHS, el personal de Synnovis y expertos en seguridad externos. Los sistemas se restauraron gradualmente a lo largo de varias semanas, aunque el ataque expuso áreas críticas que requieren mecanismos de defensa más sólidos. El evento generó llamados a mejorar los marcos de ciberseguridad en todo el sector de la salud.
Aunque el ransomware Synnovis en sí parece inactivo, las vulnerabilidades que expuso siguen siendo motivo de preocupación. Las instituciones de salud continúan enfrentando amenazas elevadas de ciberseguridad debido a su dependencia de sistemas de TI interconectados.
Implementa autenticación multifactor (MFA) en todos los sistemas.
Realiza capacitaciones regulares para los empleados para identificar intentos de phishing.
Mantén el software y los sistemas actualizados con los últimos parches de seguridad.
Invierte en herramientas de Detección y respuesta para endpoints (EDR) y en caza de amenazas proactiva.
Establece una copia de seguridad de los datos sólida y un plan de recuperación ante desastres.
Mantente informado sobre el apagón de Western Digital My Cloud y otras amenazas cibernéticas visitando el Blog de Huntress.
Conoce más sobre estrategias de protección contra ransomware a través de estos recursos de Huntress:
El ransomware es un tipo de malware que corta tu acceso a computadoras, sistemas o redes. Mira el video de nuestro el centro de operaciones de seguridad (SOC) para conocer a fondo la ruta de un ataque de ransomware, para que puedas detectarlo a tiempo, detenerlo y evitar que los hackers se lleven el dinero.
Para cuando ves la nota de rescate, el ataque lleva horas en curso, a veces días. El cifrado es el último paso, no el primero. Si solo reaccionas cuando los archivos se bloquean, ya perdiste la parte que importaba.
El ransomware de Synnovis se propaga principalmente mediante correos de phishing y vulnerabilidades de sistemas sin parchear. Una vez dentro, cifra archivos rápidamente y se propaga por la red.
Sin la clave de descifrado proporcionada por el atacante, descifrar los archivos es casi imposible. Por eso la prevención y las copias de seguridad regulares son fundamentales.
El sector salud fue el objetivo principal, especialmente los servicios de diagnóstico y las operaciones relacionadas del NHS.
Las empresas pueden defenderse de los ataques actualizando el software, realizando capacitaciones regulares en ciberseguridad, usando MFA e implementando una estrategia sólida de copias de seguridad.
