¿Qué ha pasado?
En el congreso conmemorativo de los responsables de TI hospitalarios en Berlín, el profesor Sebastian Schinzel y Nico Brüggemann, del Instituto Fraunhofer de Tecnología de la Información Segura (SIT), presentaron una simulación de crisis sobre un ciberataque a un hospital ficticio pero representativo de la realidad alemana. En un seminario, 23 participantes asumieron 12 roles diferentes —desde TI y dirección general hasta dirección médica, enfermería, seguridad de la información y el comité de crisis—. El objetivo era averiguar si un centro hospitalario sigue siendo capaz de actuar cuando la infraestructura de TI deja de funcionar por completo.
No se simuló la parte técnica en sí, sino la reacción organizativa, con extractos realistas de firewall, nombres, dominios y redes verosímiles, así como los llamados "injects", es decir, eventos introducidos como solicitudes de prensa o caídas de sistemas.
Los detalles
El ataque simulado comienza de forma poco espectacular: mediante una investigación clásica de OSINT (Open Source Intelligence), el atacante recopila a través del sitio web del hospital direcciones de correo, nombres, funciones e indicios sobre sistemas externos. A partir de esta información, elabora un correo de phishing personalizado. En el escenario, un empleado o empleada de TI con derechos de administración cae en la trampa. El atacante utiliza entonces el acceso VPN, escanea la red, localiza un servidor Exchange y obtiene allí credenciales de acceso. A partir de ese momento, según Brüggemann, en la práctica todo el Active Directory se considera comprometido.
A continuación se produce la escalada: registros sospechosos, fuga de datos, caída de sistemas como el sistema de información hospitalaria, radiología y laboratorio, y finalmente una nota de rescate.
En el ejercicio, la cadena de escalada desde el administrador, pasando por la dirección de TI y el responsable de seguridad de la información (ISB), hasta la dirección general, funcionó bien, al igual que decisiones de principio claras, como no pagar el rescate y desconectar el hospital de internet. Más complicado resultó el camino de vuelta: el comité de crisis se convirtió en una vía de sentido único, la información fluía hacia dentro pero apenas regresaba. El personal de TI en ocasiones permanecía en una sala contigua sin conocer las decisiones ya tomadas.
Un resultado clave tuvo que ver con la documentación: durante el ejercicio, alguien preguntó por una medida que ya se había decidido, solo que nadie la había registrado por escrito. También la reacción refleja de apagarlo todo de inmediato resultó problemática: un apagado descontrolado destruye las huellas forenses, y además a menudo no está claro qué sistemas se necesitan con urgencia en ese momento, por ejemplo durante una intervención quirúrgica. La medida más acertada suele ser una segmentación de red específica y controlada.
Cuando falla la TI, además se interrumpen procesos invisibles: ingresos, resultados médicos, archivo de imágenes, medicación, cuadrantes de turnos, suministro de comida. Por ello, en el ejercicio también se abordaron soluciones como los recados a pie, los cambios de turno y medidas pragmáticas, como pagar los salarios según el importe del mes anterior, ya que no era posible recalcularlos.
Contexto
Schinzel, activo desde hace más de 20 años en el ámbito de la seguridad informática y antiguo pentester, subrayó: "Nunca había vivido una dinámica así". Señaló una posible amenaza futura derivada de malware que accede a un LLM y se adapta por sí mismo; en ese caso, incluso el remedio clásico de cortar la conexión a internet podría dejar de ser eficaz, por ejemplo si los atacantes encuentran internamente una GPU en la que ejecutar un modelo pequeño.
Schinzel aporta su propia experiencia del ataque de ransomware sufrido por la Universidad de Ciencias Aplicadas de Münster (FH Münster) en 2022. De otras instituciones afectadas conoció cómo pueden descarrilar las crisis: responsables de TI apartados de sus funciones, departamentos que dejan de comunicarse justo cuando la comunicación resulta vital para la supervivencia.
Especialmente reveladora es la conclusión sobre el tiempo de recuperación: los equipos suelen calcular el regreso a la normalidad en cuestión de días, pero lo realista son semanas o incluso meses. Un caso de la zona de Fráncfort que conoce Brüggemann tardó aproximadamente un año en recuperar su estado original, y eso que ni siquiera hubo cifrado de datos, sino solo un Active Directory comprometido. Las copias de seguridad siguen siendo imprescindibles, pero no resuelven el problema de una infraestructura comprometida.
Consejos prácticos
- Organizar el comité de crisis como una comunicación bidireccional: se necesitan personas que vayan constantemente de una sala a otra manteniendo informados a todos los implicados.
- Definir roles fijos para el acta y el panorama de situación: ¿quién documenta las decisiones, quién lleva la lista de medidas, quién informa interna y externamente?
- Asignar los roles con suplentes en lugar de vincularlos a personas concretas, ya que estas pueden no estar disponibles.
- No apagarlo todo por reflejo: en su lugar, evaluar una segmentación de red específica y preservar las huellas forenses.
- Preparar procesos analógicos de respaldo para ingresos, medicación, cuadrantes de turnos y suministro de comida, por si fallan el correo, Teams y la telefonía.
- Planificar plazos de recuperación realistas: semanas o meses, no solo días.
Perspectivas
Las simulaciones tienen un enfoque científico: se evalúan los procesos y las decisiones, y los hospitales participantes reciben un informe final. El Fraunhofer SIT busca actualmente más hospitales que participen en el estudio. Los escenarios se adaptan previamente mediante un cuestionario al entorno de TI de cada centro, pero siguen siendo comparables entre sí. Brüggemann subrayó a heise online que solo con un número mayor de ejercicios se podrán obtener finalmente datos sólidos. El feedback de los participantes se incorpora directamente al desarrollo continuo de la simulación y de los procesos de emergencia.
Para el sector de TI hospitalaria, el ejercicio aporta así impulsos importantes: la seguridad de la información no puede delegarse simplemente al departamento de TI, sino que afecta a toda la organización, desde enfermería hasta la dirección general. Precisamente en el caso de consorcios con varios centros, la situación se vuelve rápidamente compleja en un caso real, tal como resumió una participante del ejercicio.
