Ante el aumento de los ciberataques y ciberdelincuencia que tiene como objetivo el sector médico y sanitario la existencia y desarrollo de cultura de Inteligencia sanitaria o MEDINT se plantea esencial para poder prevenir estas ciberamenazas. En este análisis del alumno-certificado del Máster Profesional de Analista de Inteligencia de LISA Institute, Juan Pablo Castillo, aborda las cifras de la ciberdelincuencia al sector de la salud, las principales técnicas de ciberataques a los hospitales o cuál es el perfil de los ciberdelincuentes sanitarios.
Los riesgos del sector médico y sanitario en el ciberespacio son cada vez mayores debido a la creciente digitalización y la dependencia de los dispositivos conectados para el tratamiento y el diagnóstico de los pacientes. Estas ofensivas pueden, por tanto, tener consecuencias graves para la salud de las personas, la continuidad asistencial y la protección de los datos personales.
A fin de comprender la gravedad de las consecuencias en el sector sanitario de la ciberdelincuencia comenzaremos presentando un escueto resumen de algunos ciberataques representativos recientes a nivel global que para nada desmerecen, en importancia y consecuencias a largo plazo para el funcionamiento de un Estado, respecto a lo acaecido en el sector bancario en las últimas semanas o a la crisis económica que sacude Europa en estos momentos.
A mediados de marzo, la empresa sanitaria Zoll Medical anunció que había sufrido un ataque informático de secuestro de datos, ransomware, el cual podría haberse gestado mediante phishing. Este hecho ha llevado a la revelación de una gran capacidad de información relacionada con la praxis médica tanto en formato físico como digital.
En otro caso de robo de datos, la empresa Lehigh Valley Health Network vio cómo se hacían públicas una serie de imágenes de pacientes en tratamiento oncológico tras su negativa a ceder al chantaje. Aunque, sin duda, el más sonado mediáticamente fue el sufrido por un hospital infantil de Canadá, concretamente en Toronto, donde incluso la comunidad de ciberdelincuentes puso reparos a esta acción originada dentro de un filial del grupo LOCKBIT.
Al igual que ocurre con la especialización en el sector industrial y/o sanitario, también surgen ciberdelincuentes formados para realizar ciberataques específicos en estos campos, de ahí la necesidad de la Inteligencia Sanitaria o MEDINT como arma defensiva y de contraataque en este tipo de situaciones.
Cuando hablamos de la protección de instituciones hospitalarias o empresas dentro del mundo de la medicina, es necesario remarcar que los ataques contra ellas pueden traspasar el ciberespacio. Las agresiones a infraestructuras y sustracción de material o información de forma física, tanto en presencia o no de procedimientos electrónicos de segurización, es más frecuente de lo que pudiera parecer.
Los ciberataques están, desgraciadamente, a la orden del día. En España, según los datos del Centro Criptológico Nacional (CCN-CERT), habrían aumentado hasta un 600% en los últimos años. Estas situaciones estarían ocurriendo de una manera tan frecuente que habrían pasado a crear un escenario de hostilidad continua en el ciberespacio.
Pongamos en caso concreto; como es ya de dominio público, el Hospital Clínic de Barcelona sufrió una agresión de estas características, lo que obligó a una costosísima y molesta reformulación absoluta de sus procedimientos en toda actividad sanitaria, incluyendo registros informáticos y todo detalle por pequeño que fuera. Desde reubicación de citas para intervenciones quirúrgicas ya programadas, hasta la anulación de visitas, pasando por la prolongación en el tiempo de las analíticas.
Eso tan solo sería una pequeña muestra del posible caos que se crearía en un único complejo sanitario. Ahora imaginen por un momento las consecuencias que traería si se produjera algo así en toda la red de empresas relacionadas que suministran a los hospitales desde el material para todo tipo de servicios a empresas farmacéuticas que hacen lo propio con los medicamentos.
Las cifras de la ciberdelincuencia en el sector de la salud
Los ciberataques a la sanidad son una amenaza creciente que puede poner en riesgo la salud de los pacientes y la continuidad de los servicios. En España, según el Instituto Nacional de Ciberseguridad (INCIBE) en 2021 se registraron más de 500 incidentes o reportes de vulnerabilidad en el sector sanitario. Además, el coste medio que debe afrontar una empresa que ha sufrido un ciberataque se ha duplicado en los últimos años, pasando de 54.388 euros en 2020 a 105.655 euros en 2021. Esta cifra se sitúa por encima de la media mundial, que es de 78.409 euros.
Los ciberataques pueden afectar a diferentes áreas del sistema sanitario, desde los dispositivos médicos conectados hasta las infraestructuras informáticas. Un ejemplo de ello fue el ataque que sufrió una de las principales universidades españolas, que dejó fuera de servicio 1.200 servidores, 10.000 ordenadores y afectó a más de 50.000 usuarios. Este ciberataque supuso un coste de más de 3,5 millones de euros, un gasto que para muchas empresas es inasumible y que pone al descubierto el problema económico que suponen esos ataques.
El coste económico de los ciberataques a la sanidad europea es difícil de estimar con precisión, ya que depende de muchos factores como el tipo y la duración del ataque, el impacto en la prestación de servicios y la reputación de las entidades afectadas, así como las medidas de prevención y recuperación adoptadas.
Sin embargo, algunos estudios han intentado cuantificar este coste basándose en datos empíricos o simulaciones. Por ejemplo, un estudio realizado en 2017 por IBM Security y Ponemon Institute calculó que el coste medio por registro sanitario perdido o robado era de 380 dólares (unos 340 euros al cambio actual), lo que supone un coste medio por ataque a una organización sanitaria de casi 4 millones de euros. Otro estudio realizado en 2020 por McAfee estimó que los ciberataques al sector sanitario le costaron a Europa unos 13.000 millones de euros al año.
Estos costes podrían aumentar en el futuro si no se refuerza la ciberseguridad de la UE. La Comisión Europea ha propuesto varias iniciativas para mejorar la protección del ciberespacio, como la Estrategia Europea para Ciberseguridad (2020), el Centro Europeo para Ciberseguridad Industrial Tecnológica e Investigación (2021) o el Programa Europa Digital (2021-2027). Por su parte, el Parlamento Europeo también ha pedido más fondos europeos para luchar contra los ciberataques a centros sanitarios e investigadores, así como una mayor cooperación entre los Estados miembros y las instituciones europeas para prevenir y responder a estas amenazas.
Te puede interesar: ¿En qué consiste la Directiva NIS2 de Ciberseguridad de la UE?
¿Cuáles son las principales técnicas de ciberataques a hospitales?
Como acabamos de presentar, los ciberataques a hospitales son una amenaza cada vez más frecuente y peligrosa para la seguridad de la información personal de los pacientes y el funcionamiento de los servicios sanitarios. Algunas de las principales técnicas de ciberataque a hospitales son:
- Ransomware: se trata de un tipo de programa malicioso que infecta el sistema informático y cifra los datos, exigiendo un rescate para devolver el acceso. Este tipo de ataque puede causar graves consecuencias para la continuidad asistencial y la confidencialidad de los datos clínicos. Un ejemplo reciente es el ciberataque al Consorcio Sanitario Integral (CSI) en Cataluña, que afectó a al menos tres hospitales y provocó la filtración de 54 gigas de información por parte del grupo RansomExx.
- Phishing: se trata de un tipo de engaño que consiste en enviar correos electrónicos falsos que suplantan la identidad de una entidad legítima, con el fin de obtener datos personales o financieros del usuario o infectar su dispositivo con algún malware. Este tipo de ataque puede aprovecharse de la confianza que generan las instituciones sanitarias o explotar situaciones como la pandemia para captar la atención del usuario.
- Denegación de servicio: se trata de un tipo de ataque que busca saturar el sistema informático con una gran cantidad de solicitudes o paquetes malformados, impidiendo su normal funcionamiento. Este tipo de ataque puede afectar a la disponibilidad y calidad del servicio sanitario, así como a la integridad y veracidad de los datos.
Veamos ahora algunos ejemplos de ciberataques ocurridos en España en el sector sanitario aplicados los referidos procedimientos:
- En septiembre de 2020, el Hospital Universitario Príncipe de Asturias de Alcalá de Henares sufrió un ataque informático que afectó a sus sistemas durante varios días y obligó a retrasar algunas citas médicas.
- En octubre de 2020, el Servicio Andaluz de Salud (SAS) fue víctima de un ataque ransomware que bloqueó parte de sus sistemas informáticos y provocó problemas en la gestión administrativa y clínica.
- En noviembre de 2020, el Hospital Universitario Son Espases de Palma de Mallorca sufrió otro ataque ransomware que cifró los datos almacenados en sus servidores y exigió un rescate para liberarlos.
- En diciembre de 2020, el Hospital Universitario La Paz de Madrid registró una incidencia informática que afectó al acceso a las historias clínicas electrónicas y a otros servicios digitales.
- En febrero de 2021, el Hospital General Universitario Gregorio Marañón también sufrió un incidente informático que impidió acceder a algunos sistemas durante unas horas.
- En marzo de 2021, el Hospital Clínico San Carlos tuvo que suspender temporalmente algunas consultas externas por una caída del sistema informático.
- En abril de 2021, el Centro Nacional del Cáncer (CNIO) fue objeto de un ataque ransomware que detuvo su actividad científica durante varios días.
- En mayo de 2021, el Instituto Catalán Oncológico (ICO) sufrió otro ataque ransomware que afectó a sus sistemas informáticos y telefónicos.
- En junio de 2021, la Fundación Jiménez Díaz tuvo que activar su protocolo ante una posible intrusión informática que comprometió algunos datos personales y sanitarios.
- En julio de 2021, el Hospital General Universitario Santa Lucía detectó un intento fallido de ciberataque que no llegó a afectar al funcionamiento del centro ni a los pacientes.
Te puede interesar: Curso de Prevención y Gestión de Ciberriesgos y Ciberataques
¿Cuál es el perfil de los ciberdelincuentes sanitarios?
Si se pretende enmarcar las diferentes aristas que tiene el crimen en este ámbito, es necesario ser consciente de las características que tienen los que perpetran estas acciones antijurídicas. Y es que muchas veces es más complejo de lo que puede parecer a simple vista.
- Ciberdelincuentes: Para entender la dimensión que esta problemática puede llegar a tener, hay que dejar atrás cualquier antigua imagen del usuario que actúa por propia iniciativa individual, ya que por norma general el sector ha ido profesionalizándose de cara a realizar dichas acciones en grupo de forma consensuada y/o por encargo previo de una tercera parte interesada. Casos como el de LOCKBIT o el grupo KILLNET serían de utilidad de cara a un mejor entendimiento.
- Ciberdelincuentes comunes: Sería el caso del antiguo empleado antes mencionado. Igual ocurriría con otras personas que aprovechando que trabajan en el área médica pueden apropiarse de determinados aparatos o materiales para su posterior venta.
- Ciberdelincuentes por encargo: Existen ocasiones en la que la vía para adquirir una ventaja respecto al resto de competidores lleva a demandar servicios al margen de la ley. Por ejemplo, casos como la obtención de información a cualquier precio se han podido ver en la carrera por conseguir antes que nadie una vacuna contra el COVID-19. En este sentido, hemos presenciado tanto maniobras delictivas por encargo como otras que no alcanzarían el rasgo de punibles y de un carácter más político o empresarial, pero igualmente destinadas a la obtención de una ventaja competitiva e igualmente cuestionables.
Te puede interesar: ¿Cómo es el perfil del ciberdelincuente?
¿Cuál es el marco legal de ciberseguridad para proteger el sistema hospitalario español?
Como vemos, la ciberseguridad es un aspecto clave para proteger el sistema hospitalario español, que se considera un prestador de servicios esencial, vinculado a las redes y sistemas de información en el sector de la salud. Como tal, está sujeto al marco legal establecido por el Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información, y su desarrollo reglamentario por el Real Decreto 43/2021, de 26 de enero.
Estas normas tienen como objetivo garantizar un elevado nivel común de ciberseguridad en toda la Unión Europea, conforme a la Directiva (UE) 2016/1148 (Directiva NIS), y establecen una serie de obligaciones y medidas para los prestadores de servicios esenciales en materia de gestión de riesgos, prevención, respuesta y recuperación ante incidentes de ciberseguridad que puedan afectar a la continuidad y calidad de los servicios que ofrecen. Entre las obligaciones que deben cumplir los prestadores de servicios esenciales se encuentran las siguientes:
- Designar un representante o punto único de contacto para comunicarse con las autoridades competentes en materia de ciberseguridad.
- Elaborar e implantar una política integral y una declaración de aplicabilidad que contengan las medidas técnicas y organizativas adecuadas para gestionar los riesgos e incidentes relacionados con la seguridad de las redes y sistemas.
- Notificar sin demora indebida a la autoridad competente cualquier incidente que tenga un impacto significativo o sustancial en la continuidad del servicio esencial que prestan.
- Someterse a auditorías periódicas por parte de entidades independientes para verificar el cumplimiento del Esquema Nacional de Seguridad (ENS) y del marco legal aplicable.
- Colaborar con las autoridades competentes y con el Centro Criptológico Nacional (CCN) en caso de producirse un incidente o una alerta.
- La autoridad competente para supervisar el cumplimiento del marco legal por parte del sistema hospitalario español es el Ministerio de Sanidad, que podrá imponer sanciones administrativas en caso de incumplimiento o infracción. Asimismo, el CCN actúa como autoridad nacional encargada de coordinar la respuesta ante incidentes graves o transfronterizos.
- El marco legal vigente pretende reforzar la resiliencia del sistema hospitalario español frente a las amenazas cibernéticas cada vez más frecuentes y complejas y que pueden poner en riesgo la seguridad sanitaria ciudadana. Por ello, es importante que los prestadores de servicios esenciales cumplan con sus obligaciones legales y adopten las buenas prácticas recomendadas por las autoridades expertas en ciberseguridad.
La importancia de una cultura de MEDINT más allá de la ciberseguridad
Las instituciones médicas y hospitalarias entrarían dentro de la categoría de Las Infraestructuras Críticas por diversas razones, desde estar en posesión de los datos de todo paciente que acude a tratarse por cualquier síntoma, hasta por albergar material tecnológico de alta complejidad y coste para la realización de pruebas, que además puede producir o contener material radiológico/radiactivo susceptible de ser usado con fines criminales o como arma. A raíz de la situación de estos centros, puede medirse, con otras variables, la calidad de vida de una región en concreto o un país determinado. Es por ello que salvaguardar dicha integridad en todos los planos, incluido el físico, es muy importante.
La sustracción de material médico puede darse si desgraciadamente se produjera las funestas circunstancias descritas en el bloque anterior. Puede darse el caso, como ocurrió en febrero de este año, donde un antiguo trabajador del hospital de Santiago de Compostela fue descubierto sustrayendo material propio del centro.
Y es que, si como en este caso en concreto, acababa en manos de una tercera persona gracias a la reventa, imaginen como sería si en vez de material fungible fueran los datos de un estudio propio de un laboratorio cuyos resultados son esenciales para la finalización del proceso.
Es más, podría incluso resultar que la sustracción en cuestión fuera de equipos o del propio software necesario para la realización de determinadas pruebas de cierto nivel de concreción. O, como ya comentamos, material radiactivo que en manos equivocadas podría incluso llegar a producir una “bomba sucia”.
Por último, aunque parezca cosa del pasado reciente, es necesario decir que existen, aun a día de hoy, los denominados “ataques a la atención médica”. Estos se llevan a cabo con la intención de evitar que se desarrolle el ejercicio profesional en situaciones de conflicto armado. Y es que los corredores humanitarios y la ausencia de más obstáculos a seres humanos dedicados al bienestar de los combatientes son en determinadas ocasiones vulneradas para poder obtener una ventaja estratégica o táctica en la guerra.
Más allá de todo lo relatado, habría que incidir en que los diversos casos que obstaculicen la dinámica de una institución o empresa del sector sanitario, hace que todo lo que debería seguir rodando se ralentice o directamente quede paralizado con sus respectivas consecuencias.
Esto lo pudimos observar durante los años que se luchó con gran intensidad contra la pandemia provocada por el COVID-19, tratamientos paliativos contra el cáncer se vieron afectados en lo que a la regularidad de su aplicación se refiere y todavía estamos presenciando las consecuencias de retrasar algunos de esos tratamientos, en muchas ocasiones con consecuencias irreversibles para los afectados.
Para poder prevenir todo lo que se ha descrito anteriormente debe existir lo que podría denominarse “cultura de Inteligencia sanitaria o MEDINT”, lo que significaría poder conocer todo lo que existe alrededor de este concepto. Sin embargo, no deja de resultar llamativo lo que cuesta, a veces, poder encontrar bibliografía e información fiable acerca de esta disciplina. Es por ello que este artículo publicado en LISA News será el primero de una serie de análisis en los que esperamos aportar un poco de luz sobre la importancia de la Inteligencia sanitaria o MEDINT y así ayudar al desarrollo de esta disciplina esencial para la seguridad de cualquier país.
