Ransomware en clínicas: cómo protegerse de un ataque real

El ransomware se ha convertido en la amenaza más costosa para clínicas y hospitales, con ataques que paralizan consultas durante días y ponen en riesgo datos de pacientes. Lo que muchos no saben es que el 70% de estos ataques entran por errores humanos evitables, no por fallos técnicos complejos.

He visto consultas paralizadas por ransomware. No es agradable. Un lunes por la mañana llegas a la clínica, enciendes el ordenador y aparece una pantalla con un mensaje en inglés exigiendo bitcoins a cambio de "devolver" tus datos. Historias clínicas, agendas, facturas, todo cifrado. Mientras tanto, los pacientes esperan en la sala y no puedes acceder a nada.

El problema no es solo técnico. Es operativo, legal y reputacional. Y lo peor: muchos centros siguen pensando que esto solo le pasa a los grandes hospitales, cuando la realidad es que las clínicas pequeñas son objetivos más fáciles porque suelen tener menos protección.

Por qué las clínicas son objetivo prioritario

Los datos sanitarios valen entre 10 y 50 veces más en el mercado negro que los datos de tarjetas de crédito. Un número de tarjeta se puede cancelar en minutos; un historial médico completo con DNI, diagnósticos y tratamientos no se puede "resetear". Esto convierte a cualquier centro sanitario en diana.

Además, existe una presión única en sanidad: no podemos permitirnos estar sin sistemas durante días. Un restaurante puede funcionar temporalmente con papel y calculadora; una clínica con cirugías programadas, tratamientos oncológicos o urgencias no. Los atacantes lo saben y por eso la tasa de pago en el sector sanitario es más alta que en otros sectores.

Lo que mucha gente no sabe es que el coste medio de un ataque de ransomware en un centro sanitario no es el rescate (que suele rondar entre 20.000 y 200.000 euros según el tamaño), sino la interrupción operativa. Hablamos de una media de 21 días para recuperación completa, según datos del Ponemon Institute de 2021. Tres semanas cancelando consultas, derivando urgencias, trabajando en papel y recuperando datos de copias de seguridad.

Los vectores de ataque reales

En mi experiencia digitalizando consultas, he identificado cuatro puntos de entrada principales:

Correo electrónico (el 54% de los casos)

El phishing sigue siendo el rey. Un email que parece del laboratorio, de un paciente o incluso de la mutua, con un PDF adjunto o un enlace. Alguien del equipo hace clic y ya está. No hace falta ser ingenuo: estos correos están cada vez mejor hechos, con logos correctos y lenguaje creíble.

Lo que funciona: formación específica trimestral para todo el personal (no solo una charla anual genérica) y simulacros de phishing sorpresa. En DriCloud implementamos un sistema donde el software medico no permite abrir archivos ejecutables desde el correo, solo visualizarlos en sandbox primero.

Conexiones RDP sin proteger

El protocolo de escritorio remoto (RDP) permite acceder a tu ordenador desde casa. Muy útil, pero si está expuesto a Internet con contraseñas débiles, es como dejar la puerta de la clínica abierta de noche. Los bots escanean constantemente rangos de IPs buscando puertos RDP abiertos.

Solución: usar VPN siempre, autenticación de doble factor obligatoria y cambiar el puerto por defecto. O mejor aún, usar sistemas cloud que no requieran RDP en absoluto.

Software desactualizado

Windows 7 todavía está presente en muchas clínicas. Lo he visto. Sistemas operativos sin soporte desde 2020, navegadores antiguos, Java desactualizado. Cada vulnerabilidad sin parchear es una ventana abierta.

La excusa habitual es "ese ordenador solo tiene el programa de rayos X antiguo que no funciona en Windows 10". Entiendo la situación, pero hay que aislar ese equipo de la red principal o virtualizarlo. No puede estar conectado al mismo switch que los ordenadores con historias clínicas.

Proveedores externos

El técnico de mantenimiento que conecta su USB, la empresa de limpieza con acceso fuera de horario, el becario que se conecta al WiFi de la clínica. La cadena de seguridad es tan fuerte como su eslabón más débil.

El plan de protección que realmente funciona

Después de consultar con responsables de seguridad de varios hospitales y revisar informes de incidentes reales, estas son las medidas que marcan diferencia:

Copias de seguridad (mal hechas, no sirven)

Todo el mundo dice "hago copias de seguridad", pero luego descubres que están en un disco duro conectado permanentemente al servidor. Si el ransomware cifra el servidor, también cifra ese disco. La copia debe ser inmutable y desconectada.

Regla 3-2-1: tres copias de tus datos, en dos tipos de soporte diferentes, con una fuera de la ubicación física. Y lo crítico: probar la restauración cada tres meses. He visto casos de clínicas con copias diarias durante años que cuando las necesitaron descubrieron que estaban corruptas.

Segmentación de red

Los ordenadores de administración no deberían estar en la misma red que los equipos médicos conectados. Si entra ransomware por el ordenador de facturación, no tiene por qué propagarse al servidor de imágenes médicas.

Esto requiere algo de inversión en infraestructura, pero en clínicas de más de 5 consultas es imprescindible. Un buen técnico puede implementar VLANs con switches gestionables por menos de 2.000 euros.

Control de privilegios

La auxiliar administrativa no necesita permisos de administrador en su ordenador. Ni la enfermera. Ni tú, para el trabajo diario. El ransomware que se ejecuta con permisos de usuario limitado hace mucho menos daño que con permisos de administrador.

Cuesta acostumbrarse, lo sé. Pero cualquier acción administrativa (instalar programas, cambiar configuración) puede hacerse con una cuenta de administrador separada cuando sea necesario.

EDR o antivirus de siguiente generación

El antivirus tradicional basado en firmas es insuficiente. Los sistemas EDR (Endpoint Detection and Response) monitorizan comportamientos sospechosos: un proceso que de repente empieza a cifrar cientos de archivos, conexiones a IPs de países raros, modificaciones del registro de Windows típicas de ransomware.

Hay opciones asequibles para clínicas pequeñas, desde 5-8 euros por ordenador al mes. Mucho menos que un día de consultas perdidas.

Qué hacer si ya te han atacado

Primero: no pagar inmediatamente. Desconecta todos los equipos de la red, identifica el equipo paciente cero y llama a un especialista en ciberseguridad. En España, el INCIBE (Instituto Nacional de Ciberseguridad) tiene una línea de ayuda gratuita para empresas.

Segundo: denuncia ante la Policía Nacional (Grupo de Delitos Telemáticos) y notifica a la Agencia Española de Protección de Datos si hay datos personales afectados. Es obligación legal y además puede ayudar en el seguro.

Tercero: evalúa si realmente necesitas pagar. Si tienes copias de seguridad verificadas y puedes restaurar en 48-72 horas, no pagues. Pagar financia más ataques y no garantiza recuperación (un 30% de los que pagan nunca reciben la clave de descifrado completa).

El coste real de no hacer nada

Implementar medidas de seguridad decentes para una clínica de 3-5 consultas cuesta entre 3.000 y 5.000 euros iniciales más unos 200-300 euros mensuales en mantenimiento, copias cloud y software de seguridad. Parece mucho hasta que lo comparas con las alternativas.

Un ataque de ransomware te costará mínimo 15.000-20.000 euros entre pérdida de ingresos, pago de rescate (si decides hacerlo), recuperación técnica y posibles multas de la AEPD por no cumplir el RGPD. Y eso sin contar el daño reputacional cuando los pacientes se enteran de que sus datos han estado comprometidos.

Si además tienes contratado un seguro de ciberriesgo (cada vez más común), este suele exigir medidas mínimas de seguridad. Sin ellas, puede que no cubra el incidente.

La relación con tu software de gestión

No todos los programas de gestión clínica están igual de preparados. Cuando evalúes opciones en una comparativa de software médico, pregunta específicamente:

• ¿Los datos se almacenan en cloud con cifrado AES-256 o en un servidor local?
• ¿Hay copias de seguridad automatizadas e inmutables?
• ¿El acceso requiere doble factor de autenticación?
• ¿Hay logs de auditoría de quién accede a qué datos y cuándo?
• ¿El proveedor tiene certificación ISO 27001 o similar?
• ¿Qué protocolo tienen si sus servidores sufren un ataque?

Los sistemas cloud bien diseñados tienen una ventaja importante: tus datos no están en tu clínica. Si tu red se infecta, los datos en la nube suelen estar aislados. Pero ojo: "en la nube" no significa automáticamente "seguro". He visto software cloud con autenticación débil y sin copias de seguridad adecuadas.

Preguntas frecuentes

¿El seguro cubre los ataques de ransomware?

Depende de la póliza. Los seguros tradicionales de responsabilidad civil profesional no suelen cubrir ciberataques. Necesitas una póliza específica de ciberriesgo, que cada vez más aseguradoras ofrecen para clínicas. Pero atención: suelen exigir auditoría de seguridad previa y cumplir unos requisitos mínimos. Si no los cumples y te atacan, pueden negarse a pagar. El coste ronda 500-1.500 euros anuales según el tamaño de la clínica.

¿Si uso Mac o Linux estoy protegido?

Más protegido que con Windows, pero no inmune. El 95% del ransomware está diseñado para Windows porque es el sistema mayoritario en empresas, pero cada vez hay más variantes para Linux y Mac. Además, si tu servidor es Linux pero los ordenadores son Windows, sigues siendo vulnerable. La diversidad de sistemas ayuda (dificulta la propagación), pero no es una solución completa.

¿Puedo confiar en que mi informático lo tiene todo controlado?

Ojalá, pero verifica. Muchos técnicos excelentes en reparar ordenadores o configurar redes no están especializados en ciberseguridad. Pregúntale específicamente: ¿cuándo fue la última prueba de restauración de copias? ¿Qué sistema EDR tenemos? ¿Está activado el doble factor en todos los accesos remotos? Si no sabe responder con detalle, quizá necesites una auditoría externa. No es desconfianza, es profesionalidad: nadie puede ser experto en todo.

Conclusión: es cuestión de cuándo, no de si

Mi recomendación después de años viendo el sector: trata la ciberseguridad como tratas la esterilización del material quirúrgico. No es opcional, no es para mañana, no es "cuando tenga presupuesto". Es una condición necesaria para ejercer con garantías en 2024.

Empieza por lo básico esta semana: activa el doble factor en todos los accesos, verifica que las copias de seguridad funcionan y planifica formación para el equipo. El mes que viene, revisa con tu técnico la segmentación de red y el antivirus. En tres meses, considera una auditoría externa.

El ransomware no discrimina por tamaño de clínica. He visto consultas de dos médicos completamente bloqueadas y hospitales de 200 camas resistir ataques sofisticados. La diferencia no fue el presupuesto, fue la preparación. Y eso está en tu mano cambiarlo hoy.