Una tras otra, las llamadas llegaban de los hospitales; los delincuentes estaban infectando redes informáticas en un ataque masivo que ponía en riesgo innumerables vidas.
En el centro nacional de ciberseguridad de Bucarest (DNSC) observaron impotentes cómo los piratas informáticos se extendían por toda Rumania a través de un popular programa informático médico.
El jefe del departamento de ciberseguridad, Dan Cimpean, tuvo que tomar una decisión difícil, pero era la única opción que tenían.
La orden se envió a más de 100 hospitales. Desconéctense de internet ahora mismo.
El ciberataque contra los hospitales de Rumania en febrero de 2024 es uno de los peores ataques contra sistemas de salud en todo el mundo, pero este tipo de incidentes son cada vez más comunes.
El sector sanitario es ahora el área de infraestructura nacional crítica más atacada, según ha declarado recientemente el FBI.
El hecho de haber aislado de internet a 100 hospitales de Rumanía detuvo a los piratas informáticos en seco, dándoles tiempo para determinar la gravedad del ataque.
Pero eso significaba no poder usar dispositivos conectados, correos electrónicos ni navegadores web.
El personal médico tuvo que recurrir al papel y al bolígrafo, improvisando soluciones para proteger a los pacientes mientras los equipos de TI se esforzaban por resolver el problema y el centro nacional de respuesta cibernética intentaba averiguar cómo habían entrado los piratas informáticos y cómo podían detenerlos.
Sus acciones durante cuatro días a partir del 10 de febrero de 2024, así como las de los médicos y enfermeras, han sido ampliamente elogiadas.
La forma en que reaccionaron y cómo afrontaron la situación se ha convertido en un caso de estudio para los planificadores de desastres a nivel internacional, mientras los funcionarios buscan asesoramiento sobre cómo responder a un ciberataque masivo a un hospital.
La cirujana Oana Goidescu estaba de turno en el Hospital de Buzău, a 120 km (75 millas) al noreste de Bucarest, cuando llegó la alerta de que unos atacantes habían vulnerado la empresa de software RSC, con sede en Bucarest, accediendo a un sistema médico muy utilizado llamado Hippocrates.
«Fue una experiencia bastante desagradable, porque un registro informático no es solo una lista de pacientes», dijo. «Para cada paciente, solicitamos análisis de laboratorio, radiología, medicamentos y suministros. Todo eso desapareció».
El libro de Hipócrates es utilizado por médicos, enfermeras y cirujanos para gestionar todo, desde admisiones hasta nóminas, logística de farmacia y resultados de pruebas.
En silencio, los ciberdelincuentes habían comenzado a infectar hospitales de todo el país que utilizaban el sistema con una variante de ransomware llamada BackMyData. Los archivos se convertían en texto ilegible y se exigía un rescate en bitcoins.
El personal del hospital infantil de Pitești, al noroeste de Bucarest, fue el primero en detectar los errores el domingo por la mañana, un día después de que comenzara el ataque.
Al amanecer del lunes, muchos otros hospitales informaron que el sistema Hippocrates estaba fuera de servicio.
Con los hospitales fuera de servicio, los expertos en ciberseguridad trabajaron en estrecha colaboración con el fabricante del hospital Hippocrates para determinar cuántos sistemas habían sido infectados y expulsar a los piratas informáticos.
Los médicos del hospital respondieron creando soluciones alternativas para proteger a los pacientes hasta que se restableciera el servicio.
«Cuando vimos que el sistema no se repararía rápidamente, desarrollamos un método sin conexión para poder registrar a todos los pacientes», dijo Vlad Paic del Hospital Carol Davila de Bucarest.
«Solicitamos al laboratorio que nos entregara los resultados en papel. Utilizamos Excel y otras herramientas sin conexión para garantizar que la atención no se viera afectada.»
Algunos médicos afirmaron que el retorno a procesos más analógicos se vio favorecido por la transición relativamente reciente de Rumania a los sistemas digitales.
Los investigadores cibernéticos trabajaron durante toda la noche y descubrieron que 26 hospitales habían sido infectados con BackMyData.
Al día siguiente, los hospitales que no habían sido infectados volvieron a estar operativos con medidas de protección adicionales.
El DNSC afirma que parte del éxito de la operación radicó en cómo utilizaron los medios de comunicación para comunicarse con los hospitales y el público.
Los mensajes públicos instaban a los pacientes a evitar los hospitales a menos que fuera necesario.
Pero las salas de espera seguían llenándose y Goidescu dijo que algunos pacientes frustrados descargaron su ira contra el personal.
«Nos preguntaron: ‘¿Y si fuera vuestra madre?’ Tenían razón en estar enfadados, pero intentamos explicarles que no teníamos la culpa», dijo.
Otro mensaje clave fue que los hospitales no debían ponerse en contacto con los piratas informáticos ni pagar el rescate.
Los atacantes habían exigido 160.000 euros (138.000 libras esterlinas; 183.000 dólares) en bitcoins, pero se tomó la decisión a nivel nacional de no pagar.
En los hospitales que seguían sin conexión a internet, los equipos de TI se apresuraron a restaurar los sistemas a partir de las copias de seguridad.
La mayoría contaba con copias relativamente recientes de sus datos, una lección fundamental. Las copias de seguridad periódicas permiten a las organizaciones recuperarse con mayor rapidez.
En un plazo de cinco días, la mayoría de los hospitales volvieron a estar operativos y funcionando casi con normalidad, sin que se registraran muertes ni daños graves a los pacientes.
Introducir toda la información nueva registrada en papel durante la interrupción del servicio llevaría semanas más. Algunos datos se perdieron para siempre.
La policía no ha hecho comentarios sobre la investigación que está llevando a cabo para determinar quién estuvo detrás del ataque.
Sin embargo, el año pasado, una banda de ciberdelincuentes vinculada a BackMyData logró que su sitio web fuera desactivado en una operación internacional.
Cuatro rusos fueron arrestados fuera de Rusia, cuyas autoridades no cooperan con las fuerzas del orden occidentales.
Cimpean afirmó que el ataque podría haber ocurrido en cualquier lugar.
«Cuanta más tecnología tengas, cuanto más digitalizado estés, mayor será el riesgo», afirmó.
El año pasado, el servicio de salud británico NHS confirmó que un ataque informático a una empresa de análisis de sangre que afectó a una docena de centros médicos en Londres contribuyó a la muerte de un paciente .
Fue el primer caso de una muerte oficialmente vinculada a un ciberataque.
Casi al mismo tiempo, Change Healthcare en Estados Unidos sufrió un ciberataque que provocó graves problemas. La empresa pagó un rescate de 22 millones de dólares (16 millones de libras esterlinas) a los piratas informáticos.
Los piratas informáticos también causaron estragos a finales de año con un ataque contra otro proveedor de atención médica estadounidense llamado Ascension.
Alina Bîzgă, de la empresa de ciberseguridad Bitdefender, con sede en Bucarest, afirma que los ataques a hospitales resultan atractivos para los delincuentes que intentan sembrar el caos para obtener dinero.
«Los hospitales prestan servicios esenciales, y los delincuentes piensan que cuanto mayor sea la interrupción que se produzca, más probabilidades tendrán de cobrar un rescate», afirmó.