Los hospitales de Barcelona, objetivo clave para ciberataques por su "valiosa información"

A principios de marzo, un ataque informático paralizó uno de los hospitales de referencia de Barcelona, el Clínic. Como consecuencia, dejó inutilizado todo el sistema operativo: se cancelaron servicios de urgencias, laboratorio y farmacia del centro. Tal como informó el director del centro, Antoni Castells, se cancelaron más de 4.000 análisis de pacientes ambulatorios, más de 300 intervenciones y más de 11.000 visitas de las consultas externas. El caso del Clínic se ha vuelto uno de los más mediáticos, pero lo cierto es que no es el único. Los hospitales se han convertido en un objetivo goloso para los ciberdelincuentes.

En Catalunya, la Agència de Ciberseguretat ha detectado varios intentos de ciberataques en dos hospitales barceloneses en lo que llevamos de año: Sant Pau y Vall d’Hebron. En octubre de 2022, cayó el sistema informático del Consorci Sanitari Integral y afectó a un total de 13 centros, entre ellos el Hospital Dos de Maig, el CAP de Sagrada Familia y el Hospital Moisès Broggi, de Sant Joan Despí. La opacidad de los ciberataques dificulta conocer su impacto real. Lo que sí es evidente es que los centros médicos poseen información valiosa y los delincuentes aprovechan esta situación.

VENTA EN EL MERCADO NEGRO

Los datos sanitarios son una información muy cotizada porque su sustracción puede generar consecuencias graves en la salud de las personas. "Al ser una información con un gran impacto, es más probable que el secuestrador consiga su objetivo y la víctima pague un rescate", explica Samuel Parra, abogado especializado en derecho tecnológico. Hay casos en que los datos se venden en el mercado negro. "Son datos, junto a los bancarios, por los que más se suele pagar", detalla Parra, que añade que esto los convierte "en el objetivo principal de ciberataques". No obstante, a pesar de ser información sensible, el Clínic y la Generalitat se negaron a pagar.

El responsable del ciberataque en este hospital de Barcelona fue la empresa de hackers especializada Ransom House. Los piratas informáticos pidieron alrededor de 4,2 millones de euros de rescate, a lo que la Generalitat se negó a pagar rotundamente. A raíz de esta decisión, Ransom House publicó el pasado 30 de marzo parte de los datos robados. La información está disponible de forma gratuita y es accesible para cualquier persona con un conocimiento para navegar por la darkweb. Desde el hospital, el director Antoni Castells explicó que la filtración es "una pequeña parte" de la información robada y que prevén que en las próximas dos semanas los autores vuelvan a publicar datos.

El abogado especializado en derecho tecnológico aplaude la decisión de no pagar a los ciberdelincuentes. "No debemos satisfacer la petición de los ladrones, porque sino alimentamos a la bestia. Si consiguen su objetivo, más delincuentes se unirán a este tipo de delitos". La segunda razón por la que es mejor no pagar es que "nadie te garantiza recuperar la información una vez lo has hecho", señala Parra.

¿QUIÉN UTILIZA LOS DATOS?

Con los datos de pacientes se pueden confeccionar modelos de cálculo para conocer la situación clínica generalizada de una población. Es decir, que la información clínica sirve como un producto de mercadeo para empresas a las que le interese este tipo de documentos para desarrollar nuevas tecnologías adaptadas a las necesidades de los consumidores potenciales. "Las farmacéuticas los utilizan para focalizar un fármaco concreto a una población concreta al ver que padece una tasa muy alta de algún tipo de enfermedad, o para vacunas", señala Parra. También las pueden utilizar las compañías de seguro para "verificar o analizar si una póliza es viable o no en función de las patologías del paciente".

Entrada del Hospital Clínic de Barcelona / HOSPITAL CLÍNIC

LA PUERTA DE ENTRADA

Parra afirma que los ciberdelincuentes consiguen entrar en los sistemas informáticos a través de los ordenadores del personal de administración. La técnica más utilizada es el phishing, que consiste en el envío de un correo electrónico por parte de un hacker a un usuario simulando ser una entidad legítima. La otra opción es navegar por páginas web malignas sin ser consciente de ello. Una vez dentro del ordenador, los ladrones van saltando hacia otros servidores para terminar llegando al 'corazón' de la información de un hospital.

A raíz del ataque informático, una de las preguntas más recurrentes es: ¿Están los datos de los pacientes suficientemente protegidos? Según Parra, sí. No obstante, nunca va a existir un sistema conectado a Internet 100% seguro. "Se invierte mucho en proteger este tipo de instalaciones, pero es inevitable que se produzcan estos tipos de ataques siempre que navegamos por la web", advierte el experto en derecho tecnológico.

PREVENCIÓN EN CIBERSEGURIDAD

Puede que los ciberataques sean inevitables, pero se pueden prevenir. A parte de tener equipos tecnológicos más seguros y protegidos, es necesario formar a los trabajadores en materia de ciberseguridad. Según el perito judicial informático Bruno Pérez, es importante actualizar siempre los servidores y escuchar a los departamentos de informática. "Se ha puesto en evidencia que los ataques informáticos existen y la ciudadanía tiene que ser consciente y adoptar medidas de prevención, como tener copias de seguridad", explica Pérez.

Trabajadores del Hospital Clínic / EFE

AUMENTAN LOS CIBERATAQUES

En 2022, la Agència de Ciberseguretat de Catalunya detectó 1.700 millones de ciberataques contra el sector público de la Generalitat. Se trata de un 75% más que el año 2021. En 2020 se notificaron 900 millones, mientras que en 2021 de detectaron 971 millones. Estos datos demuestran que los ataques informáticos han pasado a estar a la orden del día.