MADRID 21 May. (EUROPA PRESS) -
El 58 por ciento de los hospitales se encuentra en riesgo de sufrir ciberataques que podrían comprometer la confidencialidad de sus datos médicos, y es que hasta el 20 por ciento de los sistemas de información sanitaria contiene vulnerabilidades explotables conocidas (KEV) vinculadas a campañas de 'ransomware', además de presentar conexiones inseguras a Internet, según un informe de Team82, equipo de investigación de Claroty.
Todo ello podría también interrumpir la prestación de servicios y afectar a la atención que reciben los pacientes, un impacto que es cada vez "más grave" pero cuyos recursos de prevención siguen siendo "limitados".
Los investigadores han realizado un análisis de más de 2,25 millones de dispositivos IoMT (Internet de las Cosas Médicas) y más de 647.000 dispositivos OT (Tecnología Operacional) de 351 organizaciones sanitarias, revelando que el 89 por ciento usan sistemas médicos vulnerables.
El 1 por ciento de los dispositivos IoMT tienen KEV vinculadas a campañas activas de 'ransomware' y conectividad a Internet insegura, lo que afecta al 89 por ciento de los hospitales.
Además, el 99 por ciento de estas organizaciones presentan vulnerabilidades de seguridad de acceso, siendo los sistemas de imágenes como radiografías, tomografías computarizadas, resonancias magnéticas o ecografías los dispositivos de mayor riesgo.
De hecho, el 8 por ciento de los sistemas de imágenes contienen KEV vinculados a 'ransomware', y estos dispositivos también están conectados a Internet de forma insegura, y afecta al 85 por ciento de las organizaciones analizadas.
Todo ello hace que la posibilidad de las interrupciones en la continuidad operativa y en la atención al paciente represente un "peligro real e inminente", motivo por el que los investigadores han instado a adoptar un enfoque basado en la gestión de la exposición, reduciendo los riesgos y dando como resultado un subconjunto de dispositivos lo "suficientemente manejable" como para que las compañías den prioridad a las áreas de riesgo reales.
"Los hospitales no sólo tienen que transformarse desde el punto de vista digital, sino que deben garantizar la seguridad de los sistemas críticos que dan servicio al paciente. Los ciberdelincuentes, especialmente los grupos de ransomware, aprovechan la tecnología obsoleta y la conectividad insegura para introducirse en las redes hospitalarias", ha afirmado el director de la vertical de Salud en Claroty, Ty Greenhalgh.
Tras ello, ha subrayado la importancia de priorizar las vulnerabilidades "más críticas" y alinear los esfuerzos de remediación para proteger la seguridad del paciente, así como garantizar la continuidad operativa.
El informe ha sido elaborado ante los ataques "sin piedad" de grupos de ciberdelincuentes rusos contra hospitales, pues consideran que la debilidad de sus sistemas de ciberseguridad tienen una "mayor probabilidad" de satisfacer la mayoría de sus demandas de rescate.
Además, ha detallado que estos grupos emplean cada vez más 'malware' que cifra sistemas y archivos críticos, y ha pronosticado que los ataques de doble extorsión serán la "norma" en 2025, con atacantes que roban credenciales y aprovechan una serie de vulnerabilidades en aplicaciones y sistemas conectados a Internet para obtener una posición inicial en la red de un hospital.
Cuando logran robar información "valiosa" como el historial médico o la información personal identificable del paciente, los atacantes amenazan con filtrarlos públicamente a menos que se cumplan una serie de exigencias.
Entre este tipo de grupos destacan los rusos Black Basta y BlackCat/ALPHV, considerados como los principales responsables de las mayores brechas de seguridad en el sector sanitario en 2024, cuando atacaron al sistema sanitario privado Ascension, que provocó pérdidas de 1.800 millones de dólares (unos 1.600 millones de euros), y contra Change Healthcare, que se cree que pagó un rescate de 22 millones de dólares (19 millones de euros), pero nunca recibió los datos robados y llegó a asumir los costes de recuperación y reembolso, llegando a cerca de 2.500 millones de dólares (2.200 millones de euros).
