CHICAGO — Los detalles de un aparente ataque cibernético en uno de los sistemas de salud más grandes de los EE. UU. tardaron en surgir, ya que los expertos en seguridad advirtieron el viernes que a menudo lleva tiempo evaluar el impacto total en pacientes y hospitales.
A principios de esta semana, CommonSpirit Health confirmó que experimentó un “problema de seguridad de TI”, pero aún tiene que responder preguntas detalladas sobre el incidente, incluido cuántos de sus 1000 sitios de atención que atienden a 20 millones de estadounidenses pueden haber sido afectados. El gigante del sistema de salud, que es el segundo sistema de salud sin fines de lucro más grande de Estados Unidos, tiene 140 hospitales en 21 estados.
“De hecho, toma un tiempo conocer completamente el alcance porque estás en medio de intentar restaurar todos tus sistemas”, dijo Allan Liska, analista de la firma de seguridad cibernética Recorded Future. “Estás tratando de poner en marcha la atención al paciente. Está tratando de que sus enfermeras y sus médicos vuelvan a los sistemas que necesitan”.
Las organizaciones de atención médica son un objetivo atractivo para los atacantes cibernéticos, particularmente aquellos que usan malware para bloquear los archivos de una organización víctima y aprovechar la información para realizar un pago. El ransomware sigue siendo una amenaza persistente para la industria, que se encuentra entre los 16 sectores que el gobierno de EE. UU. clasifica como infraestructura crítica.
“Los actores de ransomware saben que eso va a causar muchas interrupciones”, dijo Liska.
Los sistemas de atención médica en 2021 vieron una cantidad inusualmente alta de ataques, con 285 informados públicamente en todo el mundo, agregó Liska. Hasta ahora, la firma de Liska ha rastreado 155 este año con un promedio de 20 ataques al mes. Sin embargo, estimó que solo alrededor del 10% de los ataques de ransomware se publicitan.
Los expertos en seguridad cibernética dijeron que años de trabajo han ganado la confianza de los líderes de atención médica en el FBI y otras agencias federales enfocadas en el crimen cibernético.
Un portavoz del FBI se negó a comentar si estaban investigando el ciberataque a CommonSpirit Health.
John Riggi, asesor nacional de seguridad cibernética y riesgo de la Asociación Estadounidense de Hospitales, dijo que no podía hablar sobre CommonSpirit específicamente. Sin embargo, dijo que, en general, puede llevar días, semanas o más descubrir cómo un atacante obtuvo acceso, determinar qué daño se ha hecho y evitar más daños.
Riggi, quien pasó casi 30 años con el FBI, calificó cualquier ataque cibernético significativo en un hospital como “un riesgo potencial para la seguridad del paciente” y dijo que el gobierno de EE. UU. lo toma en serio. Su objetivo, dijo, es identificar al atacante y hacer que su identidad y metodología pública.
“No quieren mostrar su mano, lo que saben sobre los malos”, dijo. “Realmente estás procesando una escena del crimen en tiempo real”.
Pero existen riesgos para las víctimas de ataques cibernéticos que no comunican su plan de respuesta y estrategias para la recuperación, dijo Mike Hamilton, director de seguridad de la información de Critical Insights Cybersecurity en el estado de Washington.
La reacción de los pacientes, el personal y las operaciones de atención médica afiliadas al manejo del incidente por parte de la cadena podría afectar la supervivencia futura de la compañía, dijo.
“Esto es lo cerca que estamos de la resolución, aquí es donde nos estamos desviando, aquí están los otros hospitales con los que nos estamos asociando”, dijo Hamilton. “Necesitan estar seguros de que se están comunicando… porque esto afecta a muchas personas”.
———
Kruesi informó desde Nashville, Tennessee.