Cuando en México la COVID-19 se encontraba en la segunda ola, una de las más agresivas para el país, hace dos años, la Dra. Diana Vallejo, especialista en neumología, combinó su trabajo en un hospital público con la práctica privada, por lo que dar consulta por videollamada o videoconferencia fue cada vez más habitual, hasta que un día al abrir una aplicación de mensajería le solicitaron 300.000 pesos para no revelar información de sus pacientes.
Contrariada, la médica desinstaló la aplicación de WhatsApp, pero al reinstalarla el mensaje seguía ahí. Encendió su computadora para abrir la versión web y no pudo acceder a sus contactos; la situación empeoró ante la imposibilidad de ingresar a su correo personal y al institucional, y recibió otro mensaje en el que la amenazaban con contactar a cada uno de sus pacientes para solicitarles la misma cantidad que a ella.
"Me congelé porque tampoco pude ver el correo institucional y eso era grave, si tenían datos de mis pacientes que atendía por WhatsApp seguro también contaban con información del instituto; intenté denunciar en la policía cibernética, pero no tenía idea de cómo había llegado ese virus a mi teléfono, me preguntaron si entré a enlaces sospechosos, si descargué algo inusual y la verdad es que antes de hacer consultas a distancia solo usaba el teléfono para llamar y recibir mensajes", comentó a Medscape en español la Dra. Vallejo.
Jefferson Gutiérrez
De acuerdo con Check Point, durante 2021 el sector salud sufrió alrededor de 830 ciberataques por semana, un aumento de 71% respecto al año anterior, sin embargo, en México no existen estadísticas de estos ataques porque no es obligatorio reportarlos, para ello es indispensable que el país cuente con una Ley Federal de Ciberseguridad, explicó Jefferson Gutiérrez, socio líder de Asesoría en Tecnologías Forenses de KPMG México y experto en ciberseguridad.
La Dra. Vallejo señaló: "A mis 58 años la tecnología no es mi mejor amiga; mi primera reacción ante el ataque cibernético fue pagar lo que pedían, pero no solo enfrenté el no tener la cantidad solicitada, sino que debía pagar el rescate con criptomonedas, abrir una cuenta en una billetera disponible en internet y transferir el dinero convertido en bitcoins".
La especialista no sabía cómo actuar, así que por instinto habló con sus pacientes y les pidió no abrir ningún enlace que proviniera de su WhatsApp o de su correo y se comprometió a buscar ayuda para solucionar la situación.
"En el hospital, compañeros del área de sistemas me dijeron que era un virus extorsionador muy común y me contactaron con un experto en ciberseguridad; no conocía ese término hasta entonces, mis aplicaciones no tenían medidas de seguridad de dos pasos, nada de eso. En fin, este chico me ayudó a eliminar el virus y no hice ningún depósito, afortunadamente tampoco contactaron a mis pacientes y aprendí a ser más precavida, pero mientras eso pasó me llevé un gran susto, porque en nuestro teléfono tenemos nuestra vida, aunque en mi caso lo usara poco, tenía asociados mis correos, aplicaciones bancarias, fotografías personales, contactos, todo", relató.
El virus que atacó a la médica es conocido como ransomware (secuestro de información), definido por IBM como un software malicioso (malware) que bloquea los datos o el dispositivo informático de una persona y amenaza con mantenerlo bloqueado o algo peor, a menos que la víctima pague un rescate al atacante. En 2021 los casos de ransomware representaron 21% de los ciberataques a nivel global y costaron aproximadamente 20.000 millones de dólares a las víctimas, de los que 9'230.000 millones correspondieron al sector de la salud.
"El ransomware secuestra los dispositivos y los datos de las víctimas hasta que pagan un rescate. Estos ataques pueden utilizar varios métodos o vectores para infectar un dispositivo o una red, como correos electrónicos de phishing, robo de credenciales y publicidad maliciosa. El tipo más común es conocido como ransomware de cifrado, que secuestra los datos de un usuario cifrándolos y la forma menos común se conoce como ransomware de bloqueo que impide a la víctima usar su dispositivo", cita la página de IBM.
Ante aumento de telemedicina el sector salud debe priorizar seguridad cibernética
Dr. Iván Cherrez Ojeda
El Dr. Iván Cherrez Ojeda, especialista en alergia y neumología e investigador, resaltó en un estudio sobre telemedicina en Latinoamérica que en medio de la pandemia de COVID-19 la telemedicina se convirtió en una alternativa para no desatender a la población, sin embargo, aunada a los vacíos legales que existen en los países de la región, la ciberseguridad es uno de sus mayores retos.
El especialista señaló que hace falta educar a los profesionales de la salud para que no tomen a la ligera el brindar consultas a distancia, para que aprendan a utilizar las plataformas digitales que permiten conectar con los pacientes, ya sean públicas o privadas, identificar las medidas de seguridad e implementarlas todas. "Vemos cómo estos males crecen. Casos reconocidos como el de la Agencia Europea de Medicamentos (EMA) cuando se quiso comprometer la seguridad de las vacunas contra la COVID-19, ataques a hospitales en España, Finlandia o Argentina, donde se buscaba lucrar con el historial de los pacientes, o hasta en los dispositivos médicos que pueden evitar que funcionen correctamente. Si como profesionales de la salud no aprendemos a usar las plataformas digitales para dar consultas a distancia, pero sobre todo, si no existe un compromiso por aprender a cuidarnos de estos ataques, vamos a entrar en una crisis grave en materia de ciberseguridad y la telemedicina dejará de ser una alternativa", puntualizó.
Jefferson Gutiérrez añadió que los ransomware tienen una alta prevalencia en la industria de la salud porque los datos médicos son considerados "información sensible" que no cambia en el corto plazo y que puede ser relevante para diferentes esferas de la sociedad. Recuerda el hackeo a la Secretaría de la Defensa Nacional, que reveló datos sobre el estado de salud del presidente Andrés Manuel López Obrador.
"En un abrir y cerrar de ojos todos hablábamos de las enfermedades del presidente y eso fue motivado por un hackeo, en el caso de los ransomware es igual, los datos de los pacientes son lucrativos en foros clandestinos de la deep web, se venden por lotes e incluyen información personal y financiera que se monetiza a través de la extorsión o bien se usan los datos para obtener recetas médicas de forma ilegal", destacó.
El Dr. Cherrez estuvo de acuerdo en que la pandemia motivó la atención a distancia, pero la higiene de ciberseguridad, consistente en tener contraseñas fuertes y actualizarlas constantemente, proteger los sistemas operativos mediante la instalación de antivirus y revisar los permisos para el acceso privilegiado, no creció al ritmo de la telemedicina.
El estudio sobre los Hábitos de Usuarios de Internet en México 2023, publicado por la Asociación de Internet MX, destaca que a pesar de que más de 50% de los usuarios de internet conoce los servicios de consulta médica en línea, solo 15% los ha aprovechado.
"México tiene retos de infraestructura y conectividad para que la telemedicina tenga un mayor alcance, pero en lo que respecta a la ciberseguridad, si quieren que la gente confíe en este tipo de atención habrá que reforzar las defensas informáticas y capacitar al personal médico sobre las buenas prácticas de seguridad, incluyendo el uso correcto de las contraseñas, la seguridad del correo electrónico, la mensajería privada y la navegación segura por internet; sin duda la telemedicina puede traer grandes beneficios, pero su viabilidad requiere de la ciberprotección de la infraestructura de organizaciones médicas y de los datos de los pacientes, así como de leyes y procedimientos que aseguren su integridad y privacidad".
El reporte Adopción de telesalud: los riesgos y oportunidades, publicado en 2021 por Kaspersky, puntualiza que 73% de los proveedores de atención médica en México usa equipos médicos con un sistema operativo obsoleto que eleva los costos para actualizar antivirus. En consecuencia, 27% admitió fugas de datos en su organización y 13% reportó ataques DDoS (denegación de servicio distribuida) y ransomware.
Jefferson Gutiérrez aconseja al personal médico realizar análisis de riesgos que ayuden a entender qué pasará si se usa determinada aplicación, cuál es el riesgo de exposición, tomar en cuenta dónde se almacena la información de los pacientes, si existe la posibilidad de tener copias de seguridad, qué medidas brinda la aplicación, como cifrado o autenticación de dos factores y cómo pueden percatarse de que son víctimas de un ciberataque, así como la respuesta que tendrán a este.
¿Cómo pueden los médicos mantener seguros los dispositivos que usan para dar consulta a distancia?
El primer paso para evitar malware, ransomware y demás males informáticos radica en entender que todos podemos ser víctimas de estas prácticas, porque solo así se podrán determinar las herramientas de contención, además de que el estado debe legislar al respecto y contar con información actualizada y asequible sobre los ciberataques más comunes, los sectores más afectados y los procedimientos para interponer denuncias de la forma más sencilla posible, que a la par brinde asesoría para eliminar los virus de los dispositivos infectados, puntualizó Jefferson Gutiérrez.
Si bien las instituciones hospitalarias presentan retos económicos para actualizar equipos y sistemas operativos obsoletos, en primera instancia pueden orientar al personal sobre ciberseguridad, explicar los ciberataques a los que están expuestos, instalar antivirus en dispositivos móviles, dar a conocer las amenazas de las que han sido objeto y mantener la lista actualizada, así como implementar estrategias de detección y respuesta para detener los ataques en etapas tempranas.
El experto agregó que los profesionales de la salud deben ser muy cuidadosos con la gestión de sus redes sociales y aconsejó que tengan una cuenta personal y una laboral para disminuir riesgos que vulneren su vida privada o la de sus pacientes.
"Un hospital debe tener un departamento encargado de la seguridad informática, lo cual no es un lujo, sino una necesidad, porque este se hará cargo de la revisión constante del sistema de cada uno de los equipos y discos duros. En el caso individual los profesionales de la salud deben acercarse con expertos en ciberseguridad para proteger sus dispositivos, ser transparentes con sus pacientes en caso de recibir una amenaza y contar con un seguro diseñado para deslindarse de responsabilidades y que sea un apoyo para cubrir los gastos derivados del delito cibernético, es muy importante que no combinen sus redes sociales personales con las profesionales, no solo por una cuestión de imagen, sino que así son menos vulnerables a exponer datos personales y de sus pacientes".
Para blindar la confidencialidad de los datos médicos, el laboratorio Roche recomienda a los médicos almacenar de forma segura la información mediante herramientas como EFS, Bitlocker, GnuPG o FileVault2, usar claves seguras para proteger información delicada almacenada en equipos y en la nube, instalar un antivirus capaces de detectar y frenar todas las amenazas para reducir el riesgo de fuga de información, replicar los datos en otro sitio, que también deben estar cifrados, llevar a cabo un borrado seguro de todo rastro de información sensible a través de herramientas especializadas y emplear redes privadas virtuales o VPN para acceder con garantías a la intranet médica o al correo profesional o corporativo.
Éctor Jaime Ramírez Barba
El diputado Éctor Jaime Ramírez Barba, secretario de la Comisión de Salud, manifestó que la legislación mexicana en el sector de la salud no ha progresado al ritmo que las tecnologías y eso provoca que hospitales y personal médico estén en una especie de "zona gris" al dar teleconsultas y lamentó que México sea el país de Latinoamérica en el que se han registrado más intentos de ciberataques durante el primer semestre de 2022.
"Es necesaria una legislación sobre ciberseguridad que contribuya a que los médicos puedan dar consultas a distancia sin ser objeto de ataques cibernéticos, que puedan emitir recetas electrónicas sin que esto sea un problema; se deben destinar recursos para capacitar a los profesionales de la salud y para que existan plataformas confiables a las que se puedan integrar para dar teleconsultas. No es posible que el año pasado, al menos en los primeros seis meses, México haya reportado 85.000 millones de intentos de ciberataques, así nunca podremos avanzar en términos de telemedicina, y por ende disminuir la desigualdad en la atención de la salud", concluyó.
Siga a Perla Miranda de Medscape en español en LinkedIn.
Para más contenido suscríbase a nuestros boletines y siga a Medscape en Facebook, Twitter, Instagram y YouTube.
| Contenido relacionado |
CRÉDITO
Imagen principal: Dreamstime
Figura 1: Dr. Iván Cherrez Ojeda
Figura 2: Jefferson Gutiérrez
Figura 3: Éctor Jaime Ramírez Barba
Medscape Noticias Médicas © 2023 WebMD, LLC
Citar este artículo: ¿Ransomware? ¿Virus de extorsión? ¿Cómo pueden protegerse los profesionales de la salud de ataques cibernéticos? - Medscape - 29 de mayo de 2023.
Comentario