Por que los hackers atacan hospitales y nadie los para

La ciberseguridad en hospitales frente al ransomware no es un problema del futuro. Es un problema de hoy, de ahora mismo, mientras lees esto. En algún lugar del mundo, un sistema hospitalario está siendo cifrado por un grupo de ciberdelincuentes que lleva semanas dentro de la red sin que nadie lo haya notado. Y cuando el sistema colapse, los médicos volverán al papel, los quirófanos se quedarán sin datos y, en algunos casos documentados, los pacientes morirán.

Suena dramático. Pero es lo que ha ocurrido, con nombre y apellidos, en hospitales de Alemania, Estados Unidos, Irlanda, España y decenas de países más. No es una película de ciencia ficción. Es la realidad más sucia del sector tecnológico, y tiene una pregunta en el centro que nadie responde bien: ¿por qué atacan hospitales y por qué no los paramos?

Un blanco perfecto: débil, urgente y lleno de datos

Para entender por qué los hospitales son un objetivo tan goloso, hay que pensar como un atacante. Un grupo de ransomware no busca el objetivo más famoso ni el más grande. Busca el más rentable. Y rentable significa, en este contexto, el que tiene más probabilidades de pagar el rescate rápido y sin hacer demasiadas preguntas.

Los hospitales cumplen tres condiciones que los hacen casi perfectos para este tipo de ataque.

Primero: no pueden permitirse estar caídos ni un día. Una empresa de logística puede aguantar 48 horas con los sistemas bloqueados y reorganizarse. Un hospital no. Las urgencias no esperan, las operaciones no se posponen indefinidamente, los pacientes de UCI no pueden quedarse sin monitorización. El tiempo es literalmente vida, y eso convierte la presión sobre los responsables hospitalarios en algo brutal.

Segundo: sus sistemas son un museo tecnológico lleno de parches y remiendos. No lo digo como insulto, sino como descripción técnica. La mayoría de hospitales del mundo siguen usando software heredado de hace décadas: sistemas de laboratorio que corren sobre Windows XP, equipos de rayos X que no pueden actualizarse sin perder la certificación médica, software de gestión de pacientes que lleva quince años sin un parche de seguridad serio. Actualizar en un entorno crítico es caro, lento y arriesgado, y durante años se fue postergando.

Tercero: los datos médicos son los más valiosos del mercado negro digital. Una tarjeta de crédito robada vale unos pocos euros en los foros de compraventa de datos. Un historial médico completo puede valer entre 250 y 1.000 dólares. Incluye nombre, domicilio, número de la seguridad social o equivalente, historial de enfermedades, medicación, y en muchos casos información financiera. Es un paquete perfecto para el fraude de identidad a largo plazo.

Cómo funciona un ataque de ransomware en un hospital

La imagen popular del hacker es alguien tecleando furiosamente en la oscuridad, penetrando sistemas en cuestión de segundos. La realidad es mucho más aburrida, y precisamente por eso es más peligrosa.

Un ataque típico contra un hospital empieza semanas o meses antes del momento en que todo colapsa. El punto de entrada más habitual es un correo electrónico de phishing enviado a un trabajador, un proveedor externo con acceso a la red o una vulnerabilidad conocida que nadie ha parcheado. Una vez dentro, los atacantes se mueven despacio, mapeando la red, identificando qué sistemas son críticos, buscando las copias de seguridad para cifrarlas también antes de activar el ransomware.

Cuando llega el momento, todo pasa en minutos. Los sistemas se cifran, aparece el mensaje de rescate y empieza el caos. El personal médico no puede acceder a historiales, los resultados de laboratorio no llegan, los sistemas de medicación automatizados fallan. En septiembre de 2020, un hospital de Düsseldorf sufrió exactamente este colapso. Una paciente que necesitaba atención urgente tuvo que ser desviada a otro hospital a 30 kilómetros. Murió en el camino. Fue el primer caso documentado de muerte atribuida directamente a un ciberataque.

Esto conecta con algo que ya exploré en otro contexto: el modo en que los sistemas automatizados toman decisiones que afectan vidas reales sin que haya ningún humano revisando el proceso. En el entorno hospitalario, esa dependencia se convierte en vulnerabilidad fatal.

Los grupos detrás de los ataques: ¿quiénes son y dónde están?

No estamos hablando de adolescentes aburridos en sótanos. Los grupos de ransomware que atacan hospitales son organizaciones con estructura empresarial: tienen departamentos de recursos humanos, soporte técnico para las víctimas, equipos de negociación y divisiones especializadas en sectores concretos.

Algunos de los nombres más activos en los últimos años son Conti, LockBit, BlackCat y Vice Society, este último especializado explícitamente en el sector sanitario y educativo. Operan mayoritariamente desde territorios donde la extradición hacia Occidente es difícil o imposible: Rusia, partes de Europa del Este, Irán. No es casualidad. La geografía es parte del modelo de negocio.

Muchos funcionan bajo el modelo RaaS, Ransomware as a Service: el grupo central desarrolla el software malicioso y lo alquila a «afiliados» que ejecutan los ataques a cambio de una comisión. Es exactamente como una franquicia, pero con víctimas en lugar de clientes.

Lo que hace más inquietante todo esto es que algunos grupos tienen políticas internas. Conti, por ejemplo, publicó en su momento normas que supuestamente prohibían atacar hospitales. En la práctica, varios de sus afiliados lo hicieron igualmente. Las normas de un grupo criminal organizado tienen el peso que tienen.

¿Por qué nadie los para?

Esta es la pregunta más incómoda. Y la respuesta tiene varias capas.

La primera es técnica: rastrear y detener estos ataques es genuinamente difícil. Los grupos usan redes de anonimización, criptomonedas para cobrar los rescates e infraestructuras distribuidas en servidores de múltiples países. Para investigar, las agencias de seguridad necesitan coordinación internacional, y esa coordinación es lenta, burocrática y a veces políticamente imposible.

La segunda es económica: algunos gobiernos y organismos recomiendan oficialmente no pagar el rescate. Pero los hospitales pagan. En 2021, el sistema sanitario irlandés HSE sufrió un ataque masivo de Conti. No pagaron el rescate, pero el coste de la recuperación se estimó en más de 100 millones de euros. Cuando el coste de no pagar es mayor que el rescate, el incentivo se distorsiona de forma brutal.

La tercera es política: el cibercrimen organizado que opera desde ciertos países es tolerado, o incluso protegido, mientras no ataque infraestructuras del propio país. Eso convierte algunas de estas organizaciones en herramientas de presión geopolítica difícilmente perseguibles por vías diplomáticas convencionales. No es muy diferente de lo que ocurre con la tensión entre gobiernos y empresas tecnológicas cuando se trata de acceso a sistemas privados.

La cuarta, y quizás la más estructural, es de inversión: la ciberseguridad en hospitales lleva años siendo la última prioridad de un sector que ya tiene problemas para pagar salarios, comprar equipos y mantener edificios. Un responsable de seguridad informática en un hospital público compite por presupuesto con oncología y con cardiología. Adivinad quién suele perder.

Lo que sí se puede hacer: medidas reales, no magia

Hay soluciones. No son glamurosas ni inmediatas, pero existen y funcionan cuando se aplican con rigor.

• Segmentación de red: dividir los sistemas hospitalarios en compartimentos estancos, de modo que si un segmento se infecta no arrastre al resto. Es como tener puertas cortafuego en un edificio.
• Copias de seguridad aisladas: guardar backups en sistemas desconectados de la red principal, para que el ransomware no pueda alcanzarlos. Parece obvio; muchos hospitales aún no lo hacen bien.
• Formación del personal: el eslabón más débil casi siempre es humano. Un empleado que identifica un correo de phishing y no hace clic en el enlace puede evitar meses de infiltración.
• Actualización de sistemas críticos: aunque es compleja, es posible con planificación y financiación. Algunos países están creando programas específicos de modernización tecnológica sanitaria.
• Planes de continuidad: protocolos claros de qué hacer cuando los sistemas fallan. Volver al papel durante un ataque es posible si hay entrenamiento previo y procedimientos escritos.

La Agencia de Ciberseguridad de la Unión Europea, ENISA, publica periódicamente guías específicas para el sector sanitario. El problema no es falta de conocimiento. Es falta de voluntad política y presupuestaria.

En este sentido, merece la pena recordar que la digitalización acelerada de datos sensibles ha creado superficies de ataque enormes en muy poco tiempo, y los protocolos de seguridad no han ido al mismo ritmo.

El mercado negro detrás del caos

Hay un ecosistema completo que hace posibles estos ataques. No solo los grupos que ejecutan el ransomware, sino también los brokers de acceso inicial, personas que se especializan en entrar en redes corporativas o institucionales y luego venden ese acceso al mejor postor en foros privados. El comprador puede ser un grupo de ransomware, pero también un estado que busca espionaje o sabotaje.

Esto tiene una dimensión que va más allá del crimen organizado clásico. Los datos hospitalarios robados tienen valor de inteligencia: historial médico de políticos, militares, jueces. Un gobierno poco escrupuloso con acceso a esa información tiene una herramienta de presión considerable.

No es una teoría conspirativa. Es una consecuencia lógica del valor de los datos, y hay casos documentados de actores estatales interesados en información médica de personas concretas. Todo esto tiene conexión directa con algo que ya analizamos sobre quién controla la infraestructura por la que viajan los datos y lo poco que sabemos sobre ello.

Hay además un detalle que poca gente conoce: cuando una víctima paga el rescate, el grupo suele proporcionar una herramienta de descifrado. Pero no siempre funciona. En algunos casos, incluso tras pagar, los hospitales han tardado semanas en recuperar el acceso completo. Pagar no garantiza recuperar nada.

Lo que los hospitales saben y no dicen

Existe un problema de transparencia que dificulta enormemente la defensa colectiva. Muchos ataques no se comunican públicamente, bien por vergüenza institucional, bien por miedo a las consecuencias regulatorias, bien por no alarmar a los pacientes.

El resultado es que otros hospitales no aprenden de los errores ajenos. La información sobre vectores de ataque, vulnerabilidades explotadas o técnicas usadas queda en manos de las aseguradoras y los consultores de ciberseguridad contratados para la respuesta, y raramente se comparte de forma abierta con el sector.

Algunos países están cambiando esto con legislación que obliga a notificar los incidentes a las autoridades competentes. La directiva NIS2 de la Unión Europea, en vigor desde 2023, incluye al sector sanitario entre las infraestructuras críticas con obligaciones reforzadas de reporte. Es un paso, aunque la implementación varía mucho entre estados miembros.

Mientras tanto, la opacidad sigue siendo la norma cuando las consecuencias afectan a usuarios reales que no saben que sus datos han sido comprometidos o que los sistemas que los cuidan han estado en manos ajenas durante semanas.

El caso español: más cerca de lo que parece

España no es una excepción. En los últimos años se han producido ataques significativos contra centros sanitarios españoles. El Hospital Clínic de Barcelona sufrió en marzo de 2023 un ataque del grupo RansomHouse que comprometió datos de pacientes y paralizó servicios durante semanas. El Servicio Canario de Salud fue atacado en 2022. Hay más casos, algunos de los cuales no han salido a la luz pública con toda la información disponible.

El Centro Criptológico Nacional, dependiente del CNI, publica informes anuales sobre el estado de la ciberseguridad en España. En todos los últimos años, el sector sanitario aparece entre los más atacados. No es una tendencia que esté mejorando.

Lo interesante del caso español es que combina los problemas estructurales del sistema sanitario público, con décadas de infrainversión tecnológica, con la complejidad de gestionar diecisiete sistemas de salud autonómicos distintos, cada uno con sus propias infraestructuras y niveles de seguridad. Una fragmentación que desde la perspectiva de un atacante no es un obstáculo, sino una oportunidad.

Todo este contexto encaja con un patrón más amplio que ya hemos explorado: la forma en que la dependencia digital puede convertirse en vulnerabilidad sistémica cuando los incentivos para proteger las infraestructuras no están bien alineados.

¿Cuándo decidiremos que la salud digital es salud a secas?

El problema de fondo no es tecnológico. Es de valores colectivos. Hemos aceptado durante décadas que la infraestructura digital de los hospitales era un asunto de informáticos, no de presupuesto sanitario real. Hemos mirado hacia otro lado mientras los sistemas se quedaban obsoletos, los equipos de seguridad estaban infradotados y los protocolos de respuesta brillaban por su ausencia.

Mientras tanto, los grupos de ransomware han construido organizaciones sofisticadas, rentables y casi imposibles de perseguir legalmente. El desequilibrio entre atacante y defensor es brutal. Y el que paga las consecuencias no es el hospital en abstracto, sino el paciente que llega a urgencias y descubre que su historial no existe, la enfermera que trabaja a ciegas, el médico que toma decisiones sin los datos que necesita.

La pregunta que queda flotando es esta: si mañana el ataque no fuera a un hospital, sino a la central nuclear, a la red eléctrica o al sistema de agua de una ciudad, ¿seguiríamos tratando la ciberseguridad como un gasto opcional? ¿O necesitamos que primero ocurra algo irreversible para tomárnoslo en serio?

Preguntas frecuentes