Este artículo apareció por primera vez en The Financial Times.
Artículos relacionados:
La falta de ciberseguridad atrae a piratas informáticos hacia los dispositivos hospitalarios
Detenido un hombre en la investigación sobre el hackeo de una empresa de juguetes
Qué significa la decisión de Brasil sobre WhatsApp para la gobernanza de internet
El pasado enero, un administrador de la aseguradora sanitaria Anthem detectó una consulta inusualmente compleja que se ejecutaba en la red informática. Parecía que era responsabilidad de un compañero, pero una comprobación rápida reveló que procedía de otro lugar.
Minutos después, Anthem entró en modo de crisis. Los investigadores creen que los piratas informáticos eran de China y que habían operado sin ser detectados dentro de la red de la compañía durante meses. Consiguieron acceder engañando al empleado para que hiciera clic en un correo de phishing disfrazado de mensaje interno.
Utilizando las credenciales del administrador, los piratas informáticos rastrearon minuciosamente la base de datos de Anthem, que contenía nombres, números de la seguridad social y fechas de nacimiento de más de 78 millones de personas inscritas en sus planes de seguro desde 2004.
La brecha de Anthem sembró el pánico en el sector sanitario. Dejó al descubierto la información personal más sensible y valiosa de los clientes y reveló lo poco preparado que estaba el sector sanitario ante las amenazas de ciberdelincuentes cada vez más sofisticados — y de los Estados nación.
Los piratas informáticos accedieron a más de 100 millones de registros sanitarios —100 veces más que nunca— el año pasado. Ocho de los diez mayores ataques contra cualquier tipo de proveedor sanitario se produjeron este año, según el Departamento de Salud y Servicios Humanos de EE. UU.
Las aseguradoras se apresuraron a contratar empresas de ciberseguridad para depurar sus sistemas. Premera Blue Cross, CareFirst BlueCross BlueShield y Excellus Health Plan anunciaron brechas que afectaron a al menos 22 millones de personas en total desde marzo, incluidos ataques que se remontan a más de un año atrás. Los investigadores dijeron al FT que creen que algunos de los ataques están relacionados y se remontan a China.
Las aseguradoras afrontan múltiples investigaciones de reguladores estatales de seguros y fiscales generales de los estados, y algunas podrían enfrentarse a multas por incumplir las leyes estatales de privacidad de datos, mientras que las agencias federales de aplicación de la ley investigan quién está detrás de los ataques.
“Para muchas de ellas, a menudo es menos prioridad de lo que debería ser. Como su atención se centra en muchas otras cosas, se crea una vulnerabilidad que creo que muchos piratas informáticos ya han identificado”, afirmó Deven McGraw, directora adjunta de privacidad de la información sanitaria en la Oficina de Derechos Civiles del HHS. “Estamos observando áreas de incumplimiento bastante consistentes en todos los ámbitos.”
El HHS está investigando las brechas y declinó hacer comentarios específicos sobre ellas. Las empresas sanitarias están obligadas por las leyes de privacidad de numerosos países, incluidos Estados Unidos y el Reino Unido, a proteger los datos personales. Sin embargo, según los reguladores, han sido inconsistentes a la hora de mantener una seguridad básica.
Tendencia poco saludable Nombre de la empresa Personas afectadas (millones) Fecha de la brecha Tipo de brecha Ubicación de la información vulnerada Anthem 78,8 mar 2015 Hackeo/incidente informático Servidor de red Premera Blue Cross 11,0 mar 2015 Hackeo/incidente informático Servidor de red Excellus Health Plan 10,0 sep 2015 Hackeo/incidente informático Servidor de red Science Applications International Corporation 4,9 nov 2011 Pérdida Otros Community Health Systems Professional Services Corporation 4,5 ago 2014 Robo Servidor de red University of California, Los Angeles Health 4,5 jul 2015 Hackeo/incidente informático Servidor de red Advocate Health and Hospitals Corporation / Advocate Media Group 4,0 ago 2013 Robo Ordenador de escritorio Medical Informatics Engineering 3,9 jul 2015 Hackeo/incidente informático Historial médico electrónico, servidor de red Xerox State Healthcare 2,0 sep 2014 Acceso o divulgación no autorizados Ordenador de escritorio, correo electrónico, portátil IBM 1,9 abr 2011 Desconocido Otros Fuente: Departamento de Salud y Servicios Humanos de EE. UU.
En el Reino Unido no se han notificado hackeos en el NHS, pero la Oficina del Comisionado de Información (ICO), que realiza auditorías en nombre del Gobierno en materia de privacidad de datos, le ha impuesto una multa de 1,3 millones de libras. Las multas se deben sobre todo a descuidos: portátiles extraviados, archivos abandonados en una tienda de alimentación y registros dejados en una parada de autobús.
“El Servicio de Salud custodia algunos de los datos personales más sensibles disponibles, pero en lugar de liderar la forma de protegerlos, el NHS es uno de los peores. Esto es motivo de gran preocupación”, afirmó este año Christopher Graham, comisionado de Información. La ICO recibió este año nueva autoridad para realizar auditorías obligatorias de los sistemas del NHS. “Proteger la seguridad de los datos en todo el Gobierno, y especialmente en el sistema sanitario, es una prioridad máxima”, afirmó un portavoz del NHS.
Al igual que en el Reino Unido, los proveedores sanitarios estadounidenses ven que la mayoría de sus brechas de datos corresponden a las categorías de portátiles extraviados o acceso indebido a los sistemas por parte de personal interno. Sin embargo, a medida que más información se mantiene en formato electrónico —una idea impulsada con fuerza por el Gobierno estadounidense para que los historiales médicos sean más portables—, las intrusiones cibernéticas han aumentado.
En algunos hospitales, los médicos, que a menudo forman parte de la dirección, se han opuesto durante mucho tiempo a medidas electrónicas que, según creían, podían ralentizar la atención al paciente o interferir en ella. La señora McGrath, del HHS, afirmó que se trata de una excusa habitual, pero dijo que es mucho más preocupante que muchas empresas no cifren sus datos.
El problema se ha agravado con los cientos de fusiones hospitalarias producidas en los últimos años, que a menudo han derivado en múltiples sistemas informáticos en un mismo grupo hospitalario. La ciberseguridad a menudo se pasa por alto como prioridad.
“Es un sector muy fragmentado, así que no hay tantos grandes actores que impulsen todo el sector como se ha visto en servicios financieros y ciberseguridad”, afirmó Bryan Palma, vicepresidente sénior de Servicios Avanzados de ciberseguridad de Cisco. “Eso no está ocurriendo en la sanidad.”
Con los márgenes de beneficio del sector sanitario bajo presión, solo alrededor del 3 % del presupuesto de TI se destina a ciberseguridad, según expertos. Demasiados aspectos de la atención al paciente comparten una única red hospitalaria. Esto significa que los piratas informáticos que buscan datos de pacientes también podrían interrumpir equipos que salvan vidas, como los respiradores que funcionan en la misma red.
Surge una nueva amenaza
La amenaza cambió este año con la aparición de ataques que los investigadores vinculan con China.
“Tenemos conocimiento de múltiples grupos de amenazas que operan desde China y que han atacado al sector sanitario”, afirmó Charles Carmakal, investigador de Mandiant, una empresa de ciberseguridad. Mandiant fue contratada por Anthem, Premera y otras entidades.
“Aunque creemos saber, desde el punto de vista organizativo, quiénes son, no podemos determinar quién les encargó hacerlo. La gran pregunta es: ¿son piratas informáticos a sueldo y les pidió el Gobierno chino que hicieran esto?”, afirmó el señor Carmakal.
El Gobierno chino ha negado estar implicado en los ataques. Según personas familiarizadas con los casos, los investigadores estadounidenses creen que piratas informáticos de China se dirigieron a aseguradoras de EE. UU., entre ellas Anthem, para conocer cómo están configuradas las bases de datos de cobertura médica y de las aseguradoras. Los registros también tienen valor para fines de inteligencia. Abordar los retos sanitarios ha sido una prioridad máxima del Gobierno chino, que se enfrenta a una población envejecida y con mayor poder adquisitivo que exige una mejor atención.
“A China le interesa mucho todo lo que pueda ayudarle con las enfermedades a las que se enfrenta y con los cambios en su población”, afirmó Dmitri Alperovitch, cofundador de CrowdStrike, quien no quiso hablar en detalle sobre la brecha de Anthem. “Por ejemplo, la diabetes es un gran problema en China, así que han atacado empresas de ese ámbito.”
China se ha comprometido a garantizar el acceso universal a la atención sanitaria de todos sus ciudadanos para 2020. Actualmente, el gasto sanitario per cápita de China sigue muy por detrás del de los países desarrollados, y el sistema sanitario está plagado de corrupción y sobornos.
El sector también es un objetivo atractivo para delincuentes que venden datos personales de salud en el mercado negro. Los historiales médicos son mucho más valiosos que los números de tarjetas de crédito porque a menudo tardan más en detectarse, por lo que los datos tienen una vida útil más larga. Datos como los números de la seguridad social pueden utilizarse en una serie de esquemas, desde fraudes en devoluciones de impuestos hasta fraudes de seguros o fraudes de Medicare.
Un registro de tarjeta de crédito puede comprarse por unos 1 dólar en el mercado negro, pero “el historial médico completo de una persona lo he visto entre 200 y 2000 dólares”, afirmó Carl Leonard, analista de Raytheon Websense, una empresa de seguridad.
El mercado está inundado de datos robados de tarjetas de crédito, afirmó, por lo que “los historiales sanitarios alcanzan ahora el precio más alto”.
Los investigadores no creen que la información de la brecha de Anthem se haya vendido en mercados negros. Sin embargo, otros piratas informáticos han atacado a víctimas del ataque contra Anthem con correos electrónicos falsos que parecen proceder de Anthem o que ofrecen protección de crédito. Según personas familiarizadas con el caso, esos correos pretenden robar datos que podrían venderse a delincuentes.
Anthem prevé invertir 130 millones de dólares a lo largo de dos años para proteger mejor sus redes frente a brechas. La compañía ha asegurado a los reguladores que ha reforzado su sistema, con medidas como cambiar las contraseñas de administrador cada 10 horas y contratar a 55 expertos en ciberseguridad.
Mala ‘higiene cibernética’
Las tácticas de los piratas informáticos varían, pero en muchas de las brechas sanitarias crearon nombres de dominio parecidos a los sitios web que operan las aseguradoras, creados antes de que se detectaran los ataques.
Según investigaciones de las empresas de ciberseguridad ThreatConnect y Symantec, los sitios falsos a menudo tenían una letra distinta respecto al sitio auténtico o usaban el número “1” en lugar de la letra “l” en los nombres de los sitios.
En el caso de Anthem, anteriormente conocida como WellPoint, se creó el dominio www.we11point.com. También existían prennera.com para Premera, EmpireB1ue.com para Empire Blue y caref1rst.com para CareFirst. Todos estos nombres de dominio se rastrearon hasta China.
Cuando el administrador de Anthem descubrió el ataque el 27 de enero, los piratas informáticos estaban extrayendo un gran archivo de datos de pacientes. Se cree que llevaban meses en el sistema, pasando desapercibidos mediante múltiples consultas a la base de datos para comprenderla antes de empezar a eliminar archivos, según una persona familiarizada con el ataque.
Los piratas informáticos utilizaron un patrón repetido de extracción de datos, modificando ligeramente la consulta para evitar ser detectados. Después eliminaron los datos y los transfirieron a un sitio de intercambio de archivos cifrado, similar a un buzón de archivos en línea. Los piratas informáticos eligieron un sitio de intercambio similar a uno que Anthem ya utilizaba, lo que dificultó la detección.
Se ha criticado a Anthem por no contar con la “higiene cibernética” ni con las protecciones adecuadas para minimizar el riesgo de un ataque o limitar qué información quedaba expuesta si la red era infiltrada.
Citando un informe elaborado por Mandiant, una demanda colectiva presentada por decenas de estadounidenses afiliados a sus planes de seguro de salud alega que Anthem no implementó la autenticación de dos factores, no exigió a los usuarios cambiar su contraseña y permitió que los empleados accedieran a información personal más allá del alcance de sus funciones.
Según la demanda, Anthem presuntamente ignoró alertas, entre ellas una que duró un mes, y no implementó sistemas que supervisaran el uso de datos o las extracciones. La compañía cuenta ahora con autenticación de dos factores para sus administradores de sistemas de alto nivel.
En una auditoría de septiembre de 2013 a Anthem, el inspector general de la Oficina de Gestión de Personal de EE. UU. afirmó que la aseguradora tenía vulnerabilidades que podrían servir de “puerta de entrada para la actividad de virus maliciosos y piratería informática”.
Anthem podría enfrentarse a multas y verse obligada a adoptar medidas correctivas.
Hasta el momento, el ataque ha costado a Anthem unos 230 millones de dólares en honorarios legales y de consultoría. La mayor parte de los costes estaba cubierta por su póliza de ciberseguro. Sin embargo, Thomas Zielinski, director jurídico de Anthem, informó en agosto a los reguladores de seguros de que su ciberseguro se ha encarecido desde la brecha. Ahora Anthem debe asumir el coste inicial de 25 millones de dólares de cualquier brecha y ha contratado una póliza que ofrece 100 millones de dólares de cobertura adicional.
“La brecha [de Anthem] ha aumentado la concienciación”, afirmó el señor Palma. “El sector sanitario dice: ‘Esto ya es real. Hay precedentes en nuestro sector.’ Llegan tarde a la fiesta, pero al menos ya están aquí.”
La publicación no implica el respaldo del Foro Económico Mundial a las opiniones expresadas.
Para mantenerse al día con la Agenda suscríbase a nuestro boletín semanal.
Autor: The Financial Times cubre, comenta y analiza las últimas noticias empresariales, financieras, económicas y políticas del Reino Unido y del ámbito internacional.
Imagen: Un hombre escribe en el teclado de un ordenador. REUTERS/Kacper Pempel/Files.
