Michigan Medicine estimó que hay más de 500.000 intentos de piratería dirigidos a sus sistemas diariamente.
Si bien muchos son medios menos elaborados como las llamadas automáticas, el Dr. Marschall Runge, director ejecutivo del sistema de salud, dijo que entre 60 y 80 intentos por mes son “altamente sofisticados”.
Los sistemas de atención médica y sus proveedores han sido cada vez más objeto de ataques cibernéticos en los últimos años. Cuando tienen éxito, estos planes pueden poner en peligro la información personal del paciente y paralizar las operaciones del hospital.
Tal fue el caso en mayo en Ascension, uno de los sistemas de atención médica más grandes del país. Un trabajador descargó accidentalmente un archivo malicioso, lo que permitió a los piratas informáticos obtener acceso a una “pequeña cantidad” de servidores.
Varios hospitales de Michigan se quedaron sin poder acceder a registros médicos electrónicos y a diversos sistemas para solicitar pruebas, procedimientos y medicamentos. Los hospitales retrasaron algunos procedimientos electivos que no eran de emergencia y, en ocasiones, desviaron los servicios médicos de emergencia a otros centros de atención cercanos.
Relacionado: Ascension cree que algunos datos de pacientes estuvieron en peligro en el ciberataque de mayo
Podrían pasar meses antes de que se comprendan los daños totales del ataque. Antes de eso, es probable que otra organización se encuentre en una situación similar.
“No se trata de si te atacan, sino de cuándo”, dijo Runge, quien también se desempeña como decano de la Facultad de Medicina de la Universidad de Michigan.
En 2022, ocho de las 11 mayores violaciones de datos observadas por la Oficina del Fiscal General de Michigan tuvieron como objetivo los sistemas de salud. A nivel nacional, casi una de cada cuatro quejas de ransomware provino de entidades de atención médica ese año.
Desde entonces, se han informado ataques importantes contra McLaren Health, Cherry Health y la empresa nacional de tecnología Change Healthcare.
RELACIONADO: Los retrasos en los medicamentos y el aumento vertiginoso de los precios son un efecto continuo del ciberataque masivo
¿Por qué hospitales? Probablemente se deba a las enormes bases de datos de información personal confidencial que operan y a la importancia de que las operaciones diarias se realicen sin problemas.
“Existe la creencia de que, dado que hay vidas humanas en juego, pedir un rescate tiene un mayor grado de probabilidad de obtener un pago muy considerable”, dijo Brian Peters, director ejecutivo de la Michigan Health & Hospital Association (MHA).
Los hospitales no quieren hablar de ataques, pasados o futuros, para evitar llamar la atención de los piratas informáticos. Varios sistemas de Michigan, incluidos McLaren, Cherry y Corewell Health, rechazaron las solicitudes de entrevistas sobre el tema.
Se recomienda a los líderes hospitalarios que sean generales en sus explicaciones sobre los ataques para evitar informar a futuros piratas informáticos. A menudo también se mantiene en secreto si pagan o no un rescate.
“Las fuerzas del orden preferirían que cualquier víctima de un ataque no pagara ese rescate, tal como preferimos cuando una organización terrorista mantiene rehenes”, dijo Peters. “No quieren que se transmita si estamos dispuestos y somos capaces de pagar”.
¿Qué hay detrás de la tendencia alcista?
Apuntar a los sistemas de salud ha demostrado ser potencialmente lucrativo para los piratas informáticos. Sus objetivos: acceder a información confidencial, interrumpir las operaciones y dificultar que su objetivo evite pagarles para desbloquear sus sistemas o evitar daños mayores.
Los hospitales dependen de grandes bases de datos de registros médicos electrónicos, no sólo para la atención individual de pacientes. Los investigadores pueden analizar registros de grandes poblaciones para encontrar complicaciones raras de nuevos medicamentos y procedimientos, o para descubrir los contribuyentes genéticos/ambientales de una enfermedad que pueden conducir a nuevas terapias.
“Hemos logrado grandes avances en la comprensión de enfermedades como la diabetes mediante el estudio de poblaciones muy grandes”, dijo Runge.
“A pesar de todas las grandes cosas que resultaron de la digitalización de todo lo que hacemos, el resultado son estas bases de datos masivas y conectadas… Abre la puerta potencial, u otra ruta, para atacar los registros médicos”.
Los sistemas de respaldo de muchos hospitales requieren volver al papel para mantener registros y solicitar pruebas, procedimientos y medicamentos.
“No hemos utilizado esos dispositivos en un par de décadas”, dijo Runge. “Es muy perjudicial”.
Si los piratas informáticos obtienen acceso a la información del paciente, pueden utilizarla para el robo de identidad, el fraude con tarjetas de crédito o para aprovechar información confidencial como chantaje para realizar pagos.
Es por eso que se ha vuelto común que las empresas ofrezcan servicios gratuitos de monitoreo de crédito y protección contra robo de identidad a pacientes y asociados después de una presentación de nalgas.
Qué están haciendo los hospitales para defenderse
Detectar quién está detrás de un ataque puede resultar difícil, lo que hace que el procesamiento sea frustrantemente poco frecuente.
Peters dijo que los ataques pueden provenir del extranjero y se cree que muchos están financiados o respaldados por estados extranjeros como China, Rusia, Corea del Norte e Irán.
“Lo comparo con el terrorismo global”, dijo. “No se trata de niños en un sótano; Se trata de actores bien formados y bien financiados”.
“Si alguien roba un banco, podemos investigar, encontrarlo y llevarlo ante la justicia. Hay un cierto grado de satisfacción. Todavía no lo tenemos en el ámbito de la ciberseguridad”.
Entonces, ¿qué están haciendo los hospitales para defenderse?
En 2018, MHA se asoció con Beaumont Health, Munson Healthcare y Michigan Medicine para crear el Centro de operaciones de seguridad de Michigan Healthcare. El grupo recopila periódicamente información sobre nuevas amenazas y la comparte con los sistemas de salud de todo el estado para ayudar a mejorar la ciberseguridad.
Individualmente, los sistemas de salud como Michigan Medicine están empleando una variedad de estrategias para defenderse contra ataques “cada vez más sofisticados”. Incluyen:
- Software de detección continua que busca anomalías o “deslices” que puedan indicar una infracción. El sistema puede delimitar una zona de riesgo para evitar que se ponga en peligro más información.
- Emplear piratas informáticos de “sombrero blanco” que se ganan la vida tratando de superar las defensas de sus empleadores como medio para identificar debilidades y reforzarlas.
- Almacenar datos en la nube con redundancias para permitir una rápida restauración de los sistemas después de un ataque sin tener que pagar un rescate para restaurar el acceso.
- Informar periódicamente al personal y a los pacientes sobre las mejores prácticas para detectar y prevenir ataques.
Los mensajes de texto, llamadas o correos electrónicos que parecen auténticos a primera vista pero que provienen de una parte externa, conocidos como “phishing”, se encuentran entre las formas más comunes y prevenibles de ataque a los registros, dijo Runge.
“Una vez que están en su correo electrónico, debido a que todo está conectado, eso puede permitirles encontrar contraseñas u otras formas de ingresar a los registros médicos electrónicos”, dijo.
Al capacitar a su personal para que esté atento, Runge dijo que Michigan Medicine redujo sus pruebas fallidas de phishing de más del 20% a “ocurrencias muy raras”.
Esas campañas de sensibilización deben actualizarse periódicamente. La capacitación de este mes tal vez no sea relevante dentro de seis meses.
De manera similar, Runge dijo que los pacientes pueden ayudar a protegerse contra ataques cibernéticos utilizando contraseñas de 15 caracteres o más para iniciar sesión en sus registros médicos electrónicos.
“No creo que ningún lugar esté completamente protegido y nosotros tampoco”, dijo Runge. “Tratamos de mantener alejada a la gente y luego estar muy atentos si hay alguna evidencia de que algo anda mal en nuestro sistema, y luego acordonarlo por completo”.