Un historial mèdic val entre 200 i 830 euros a la ‘deep web’: saber de què es posarà malalta la gent són diners
Sense que ningú se n’hagués adonat, Makop es va despertar un diumenge. No va matinar gaire, eren les 9,50 h, però no va importar, perquè la clínica on va aparèixer, CMJL, a Pontevedra, era tancada i els treballadors, a casa. Makop tenia hores per infectar i bloquejar els circuits informàtics. Era el 4 d’abril. A les 8.53 h del dilluns 5, l’empresa que presta serveis informàtics a la clínica va ser alertada del pirateig del sistema: els historials mèdics de 300 pacients estaven bloquejats.
Makop no va necessitar cap túnel. Va entrar a través del correu electrònic d’un treballador que, teletreballant des de casa, va obrir un missatge que semblava del Sergas, el servei gallec de salut. Però no era el Sergas, sinó un virus anomenat Makop. L’havia enviat un grup cibercriminal que amb tota seguretat va demanar un rescat.
El cas va arribar a l’ Agència Espanyola de Protecció de Dades, que fa uns dies ha conclòs que l’empresa tenia prou mesures de seguretat, encara que Makop infectés el sistema i obligués a recompondre (a mà) els historials des del 28 de gener, data de l’última còpia de seguretat. És una pandèmia paral·lela: la dels atacs al sistema sanitari. Ha estat l’objectiu primordial de la ciberdelinqüència en els últims mesos malgrat que els mateixos grups criminals van anunciar quan va esclatar la pandèmia que, per raons morals, no els tocarien. Mentien: els han envestit més que mai.
La clínica gallega no és un cas aïllat, sinó un fenomen mundial de dimensions alarmants. Entre el novembre del 2020 i el gener del 2021, els atacs de ransomware contra el sector sanitari (hospitals, clíniques, ambulatoris, laboratoris, etc.) van créixer un 45%, el doble de l’augment general, segons dades de l’empresa de ciberseguretat Check Point.
La mateixa tendència apunta el web especialitzat Hackmaggedon a la seva anàlisi del primer trimestre del 2021. És el sector més castigat, al davant dels atacs contra els individus, l’administració pública o l’educació. El supera només la categoria calaix de sastre d’“altres indústries”.
“Sempre ha estat en el punt de mira, perquè el robatori de dades mèdiques confidencials és un negoci molt lucratiu”, apunta a aquest diari Jamie MacColl, analista del think tank britànic Royal United Services Institute for Defence and Security Studies. Per l’historial d’un pacient, un de sol, es paguen entre 200 i 830 euros a la deep web , la internet profunda. S’utilitzen per a tota classe de fraus i suplantacions d’identitat.
Però la pandèmia ha convertit la sanitat en presa fàcil per al ransomware . Consisteix a introduir un virus en un sistema informàtic i segrestar-lo , encriptant les dades, i exigir a la víctima el pagament d’un rescat pel codi de desbloqueig. Amb les ucis plenes i el sistema a punt de col·lapsar, qui en pot interrompre l’activitat? La sanitat és més essencial que mai i els hackers ho saben.
Una investigació alerta que als hospitals piratejats la mortalitat creix i perdura dos o tres anys
La tecnologització de la medicina, que permet tants avenços, és una arma de doble cara. “En un hospital tot està connectat: des del software d’història clínica als equips de radiografia, radiologia, etc. Un ciberatac pot obligar a tancar un hospital. Haver de rebutjar ingressos, perquè sense informació no es pot atendre un pacient, o desprogramar intervencions. Que se’t mori algú és difícil, però pots tenir problemes greus, com que et parin una operació, per exemple si et quedes sense imatge radiològica. O que calgui interrompre les químios, que funcionen amb un software molt sofisticat”, enumera el cap d’informàtica d’un gran hospital català. Demana l’anonimat per no atreure els malfactors.
Al setembre, l’Hospital Universitari de Düsseldorf es va veure obligat a tancar les urgències per un atac. Una dona que arribava amb dissecció aòrtica va haver de ser traslladada a un altre centre i va morir. La fiscalia va plantejar acusar d’homicidi els agressors, però va concloure que la mort era inevitable.
Les conseqüències d’un atac perduren en el temps. Una investigació de la Universitat de Vanderbilt ( EUA) del 2019, que va mesurar la qualitat assistencial en hospitals que havien patit atacs, va detectar augments de la mortalitat 30 dies després de l’alta en els dos o tres anys següents, mentre que el temps d’espera per a un electrocardiograma va créixer en alguns casos en més dos minuts.
El cas més sonat, per la seva dimensió, va ser a Irlanda el 14 de maig: tot el sistema sanitari públic va ser atacat. Un mes i mig després, en alguns serveis continuen treballant amb paper i bolígraf, persisteixen els retards i creuen que la factura superarà els 505 milions d’euros. “Trigaran mesos, fins i tot anys, a recuperar-se”, adverteix MacCall.
Els EUA, on la sanitat és essencialment privada, són el país amb més atacs. El 2020 n’hi va haver més de 600, un rècord.
A Espanya els atacs s’han duplicat, segons Check Point. Des de grans grups, com Quirón o el Consorci Sanitari Integral (propietari de l’hospital Moisès Broggi de Sant Joan Despí i 13 centres més) a una miríada de petites clíniques, com la gallega, que no surten a les notícies. Cap gran hospital no va voler parlar dels atacs soferts. Tampoc el Centre Criptològic Nacional ni el Centre Nacional d’ Intel·ligència –dependents del ministeri de Defensa–, responsables d’analitzar i protegir d’aquesta amenaça. Fonts ministerials es van negar a oferir cap classe d’informació.
“Estudien molt bé a qui atacar, de vegades durant mesos, i busquen víctimes fàcils. Els hospitals petits són els més vulnerables, tenen menys sistemes de protecció”, explica Jaume Abella, coordinador del màster en ciberseguretat de La Salle.
Un historial mèdic val entre 200 i 830 euros a la ‘deep web’: saber de què es posarà malalta la gent són diners
“Abans els atacs eren massius, anaven a veure què pescaven. Ara han evolucionat molt. Entren en un sistema i estan diversos dies passejant-se fins que llancen atacs dirigits que col·lapsen l’organització”, diu Albert Haro, responsable en seguretat de la informació de l’ Agència de Ciberseguretat de Catalunya. “Els criminals”, afegeix, “funcionen com veritables empreses”.
Hi sol haver una doble extorsió: a més d’encriptar els fitxers de les víctimes, els roben dades confidencials i els amenacen de publicar-les (en solen penjar una part a tall d’aperitiu).
Així, encara que una organització tingui còpies de seguretat, hi ha més possibilitats que pagui per evitar el dany reputacional i les multes per protecció de dades. En sanitat hi ha un altre pas de rosca: els pirates contacten els pacients a qui han robat les dades, per exemple algú amb el VIH o un trastorn psiquiàtric, i els extorsionen per no publicar-les.
Els rescats exigits varien enormement segons la mida de l’hospital, el mal perpetrat o el país. A Irlanda li van demanar 16,5 milions d’euros, que no va pagar. Segons una enquesta de l’empresa Sophos a 328 caps d’informàtica d’organitzacions sanitàries a 30 països, la mitjana de rescats desemborsats va ser de 110.800 euros, però inclou només els que admeten el pagament, una minoria.
Als EUA les xifres són molt per sobre. Segons un informe del despatx d’advocats BakerHostetler, la mitjana exigida el 2020 va ser de 4,5 milions, que es va traduir en 910.335 dòlars pagats. NA Financial, una de les companyies d’assegurances més grans del país, va pagar 40 milions després de patir un atac al març, segons va revelar l’agència Bloomberg.
“Poden reinvertir aquestes fortunes per contractar més hackers i comprar programes més letals. Imagina’t el que són 40 milions davant el pressupost en ciberseguretat d’un hospital. Hi ha un desequilibri creixent”, apunta Jamie McCall.
“És difícil dir quant costa de protegir un gran hospital”, assenyala el responsable del centre català. “Un sistema de seguretat del correu electrònic pot costar 200 o 300.000 euros a l’any, i és un afegit a altres filtres. Després hi ha inversions que cal fer periòdicament. I la seguretat total no la tens mai. Sempre es veu com una despesa supèrflua”.
Irlanda va patir al maig un potent atac que va bloquejar els seus hospitals: li demanaven 16,5 milions d’euros
A ell li agradaria comptar amb un CISO ( Chief Information Security Officer), un especialista en ciberseguretat, una figura que tenen les grans empreses però “cap hospital català”, diu. “A Catalunya hi ha 60 hospitals i 40 sistemes diferents de protecció. Hi hauria d’haver un paraigua comú”.
“El preu de les pòlisses de ciberrisc s’ha multiplicat per tres en els últims mesos”, assenyala Abella. Alguns països, com França, han adoptat una línia dura contra el pagament de rescats.
Pressionada, la companyia d’assegurances Axa va anunciar al maig que deixarà d’incloure a les seves pòlisses el reembors de rescats. Els experts recomanen no pagar. “No hi ha garanties de recuperar les dades i et fa més vulnerable per tornar a ser atacat”, adverteix Haro. “Si contestes ràpid, i cedeixes i pagues, pagaràs moltes vegades”, diu Selva Orejón, directora d’ On Branding, dedicada a la reputació digital i la ciberseguretat, que admet que molts clients acaben pagant.
Lluitar contra aquests grups criminals és complicat. La majoria opera des de països com Rússia, Bulgària, la Xina o Corea del Nord.
“Tot i que els criminals intenten amagar-ho, els experts tenen eines per veure l’idioma del navegador d’origen”, explica Orejón. Quan negocien amb els atacants, els incrusten, si poden, una balisa informàtica per identificar-los.
Més que dirigir-los, els governs rus o xinès els toleren, assenyala MacColl. “La idea que Putin dirigeix personalment atacs de ransomware contra les nostres infraestructures crítiques és equivocada. És més aviat que en aquests països troben un ambient permissiu, en què els cossos de seguretat els deixen fer”.
“Això no treu que alguns cibercriminals treballin ocasionalment per a governs”, afegeix. Els EUA i Europa han acusat el Kremlin de ser al darrere del ciberespionatge a laboratoris que treballaven amb vacunes covid.
El preu de les pòlisses de ciberrisc s’ha multiplicat per tres en els últims mesos
A la seva trobada amb Vladímir Putin, el president dels EUA, Joe Biden, va presentar una llista de 16 tipus d’infraestructures contra les quals no vol més atacs.
MacColl destaca el cas d’Irlanda, al darrere del qual hi ha un grup rus anomenat Conti. Els pirates no van trigar a lliurar el codi, sense cobrar. “No han dit per què. Potser van pensar que tanta atenció mediàtica no els convenia. També em pregunto –afegeix– si Rússia, que actualment s’està acostant diplomàticament a Dublín, els va pressionar”.
El ransomware es dispara perquè cada vegada és un negoci més lucratiu. Molts grups que es dedicaven a un altre tipus de ciberdelinqüència s’han passat a això. És així perquè moltes víctimes paguen, lamenta MacColl. “És injust culpar-los.
És una de les poques àrees en què els governs abandonen les empreses privades a la seva sort davant criminals organitzats i estats hostils. Fins que els governs no assumeixin un paper més proactiu –pronostica– els atacs continuaran creixent.
https://www.lavanguardia.com/encatala/20210705/7577750/cibercrim-s-acarnissa-amb-els-hospitals.html
