Ransomware en clínicas: cómo protegerse sin ser experto

El ransomware ya no es solo problema de grandes hospitales: las clínicas pequeñas son objetivo prioritario porque suelen tener peor protección y pagan rescates rápido por miedo a perder historias clínicas. Lo he visto de cerca y las consecuencias van mucho más allá de lo económico.

Hace dos años, un colega traumatólogo de una clínica de tres consultas en Valencia me llamó a las once de la noche. Su ordenador mostraba una pantalla roja exigiendo 3.000 euros en bitcoins para recuperar el acceso a todas las historias clínicas de los últimos cinco años. No tenía copias de seguridad actualizadas. La última era de cuatro meses atrás. Perdió datos de seguimiento de fracturas, informes quirúrgicos, consentimientos informados firmados. Pagó el rescate. No recuperó todo.

Esa llamada me hizo replantear completamente cómo gestionábamos la seguridad en mi propia consulta y qué recomendaba a otros compañeros que empezaban a digitalizar. El ransomware en centros sanitarios no es un problema técnico abstracto: es una amenaza real, creciente y que golpea especialmente duro a las clínicas pequeñas.

Por qué las clínicas pequeñas son objetivo preferente

Existe una idea equivocada muy extendida: que los ciberdelincuentes solo atacan hospitales grandes porque el rescate es mayor. La realidad es exactamente la contraria. Según datos del Instituto Nacional de Ciberseguridad (INCIBE), en 2022 los ataques de ransomware a centros sanitarios pequeños y medianos aumentaron un 94% respecto al año anterior. Las clínicas de menos de diez profesionales fueron el 67% de los casos.

La razón es simple: somos blancos fáciles. Un hospital tiene departamento de IT, firewalls corporativos, protocolos de seguridad. Una clínica de dos o tres médicos tiene un ordenador comprado en El Corte Inglés, Windows actualizado cuando se acuerda alguien y contraseñas del tipo "clinica2023". Además, pagamos. Rápido. Porque perder el acceso a las historias clínicas paraliza la consulta de inmediato y no tenemos margen para negociar días o semanas como una gran empresa.

Cómo entra realmente el ransomware en tu clínica

Por experiencia directa con compañeros que lo han sufrido, los vectores de entrada son siempre los mismos y tremendamente predecibles. El noventa por ciento de los casos que conozco entró por una de estas tres vías:

• Email de un "laboratorio" o "mutua" con un PDF adjunto. Llega un correo aparentemente de Sanitas, Asisa o un laboratorio habitual con una factura o un informe. El PDF lleva macro malicioso o descarga el ransomware al abrirlo. Es la vía más frecuente.
• Pen drive de un paciente o comercial. Un paciente trae pruebas en un USB infectado. Lo conectas para ver unas radiografías y el ransomware se propaga a tu red local.
• Acceso remoto sin proteger. Muchas clínicas usan TeamViewer, AnyDesk o similar para que el informático acceda desde fuera. Si esa conexión no tiene doble factor de autenticación y contraseña robusta, es puerta abierta.

Lo que casi nunca es: un ataque dirigido sofisticado que explota vulnerabilidades de día cero. Son ataques oportunistas, automatizados, que buscan el eslabón débil. Y nosotros, los médicos sin formación en ciberseguridad gestionando nuestra clínica, somos ese eslabón.

Medidas concretas que funcionan

Voy a centrarme en lo que realmente sirve en una clínica pequeña, no en teoría de manual. Estas son las medidas que aplico y recomiendo, ordenadas por impacto real:

1. Copias de seguridad desconectadas

No negociable. Copia diaria automática de toda la base de datos de historias clínicas en un disco duro externo que se desconecta físicamente del ordenador cuando termina la copia. Si el disco está siempre conectado, el ransomware lo cifra también. Lo he visto. Un disco de 2TB cuesta 60 euros. Alternar dos discos, uno cada día, es todavía mejor.

Si usas un software medico en la nube, comprueba que las copias no sean solo replicación en tiempo real, sino snapshots con retención de al menos 30 días. Si cifran tus datos y se replican inmediatamente a la nube, no sirve de nada.

2. Actualizar Windows y el antivirus

Suena obvio, pero el 80% de clínicas que conozco tienen actualizaciones pendientes porque "tardan mucho" o "me cambian cosas". Windows Defender actualizado bloquea la mayoría de ransomware conocido si las definiciones están al día. Configurad las actualizaciones para que se instalen automáticamente los domingos por la noche. No lo dejéis en manos de "cuando me acuerde".

3. Formación mínima del equipo

Tu secretaria, tu enfermera, tu socio. Todos tienen que saber: no abrir adjuntos de correos inesperados, aunque parezcan de empresas conocidas. Llamar por teléfono para confirmar si un email es legítimo. No conectar pendrives desconocidos sin escanear antes. Una sesión de media hora cada seis meses. En mi clínica lo hacemos con casos reales de emails de phishing que hemos recibido.

4. Doble factor en todo acceso remoto

Si tu informático accede remotamente, si tu comparativa de software médico permite acceso web desde casa, si tienes un NAS para almacenar imágenes médicas. Todo con doble factor. Google Authenticator es gratis y tarda dos minutos en configurar. Sí, es menos cómodo introducir un código cada vez. También es menos cómodo pagar 5.000 euros de rescate.

5. Red separada para pacientes

Si ofreces WiFi en la sala de espera, debe ser una red completamente independiente de la red donde están los ordenadores de consulta. Un router de 40 euros con dos redes separadas. He visto ransomware entrar porque un paciente tenía el móvil infectado, se conectó al WiFi de la clínica y desde ahí saltó a la red local.

El protocolo de respuesta que nadie tiene

Lo más sorprendente es que la mayoría de clínicas no tienen ni idea de qué hacer si les atacan. Pierden tiempo valioso. Mi recomendación, que llevo escrita y plastificada junto al ordenador principal:

• Paso 1: Desconectar físicamente todos los ordenadores de la red. Cable ethernet fuera, WiFi apagado. El ransomware se propaga por red local, hay que aislar inmediatamente.
• Paso 2: NO apagar los ordenadores infectados. Mantenerlos encendidos pero desconectados para análisis forense posterior.
• Paso 3: Llamar a INCIBE (017, gratuito) antes que a tu informático de confianza. Tienen protocolo específico sanitario y te orientan sobre si denunciar o no.
• Paso 4: Avisar a tu compañía de seguros si tienes ciberriesgo contratado. Cada vez más pólizas de responsabilidad civil incluyen esta cobertura.
• Paso 5: Notificar a la Agencia de Protección de Datos si hay compromiso de datos de pacientes. Es obligación legal en menos de 72 horas.

Y lo más importante: no pagar el rescate como primera opción. En muchos casos existen herramientas de descifrado gratuitas. El portal No More Ransom, iniciativa de Europol, tiene descifrados para más de 160 familias de ransomware. Muchos compañeros han pagado sin saber que había solución gratuita.

El coste real de un ataque

Más allá del rescate, que suele oscilar entre 1.500 y 10.000 euros para clínicas pequeñas, están los costes indirectos. Mi colega de Valencia estuvo tres semanas trabajando a medio gas, reconstruyendo historias de memoria y llamando a pacientes para rehacer seguimientos. Perdió pacientes que se fueron a otros traumatólogos porque "no le daba confianza un médico al que le habían hackeado". Tuvo que contratar un perito informático forense para el informe a la aseguradora: 2.400 euros. Y notificar la brecha de seguridad a todos los pacientes afectados, con el coste reputacional que eso supone.

El coste total superó los 15.000 euros entre rescate, peritaje, horas perdidas y pacientes que no volvieron. Para una clínica pequeña es un golpe muy duro.

Mitos que he escuchado demasiadas veces

"A mí no me van a atacar, soy muy pequeño." Falso. Precisamente por ser pequeño eres objetivo fácil. Los ataques son automatizados, no te eligen personalmente.

"Tengo Mac, no me afecta." Cada vez hay más ransomware para macOS. Menos que para Windows, sí, pero existe. Y si tu base de datos está en un servidor Windows o Linux, da igual tu Mac.

"Mi informático ya se encarga de todo eso." Tu informático viene una vez al mes. El ransomware entra un martes a las 16:30 porque tu secretaria abrió un email. La primera línea de defensa eres tú y tu equipo.

"Pagar el rescate es lo más rápido." Pagar no garantiza recuperar los datos. En estudios de empresas de ciberseguridad, solo el 65% de los que pagan recuperan sus archivos, y de esos, menos del 40% los recuperan completos. Además, estás financiando el siguiente ataque a otro colega.

Preguntas frecuentes

¿Debo denunciar un ataque de ransomware a la policía?

Sí, siempre. Aunque no esperes que recuperen tus datos. La denuncia sirve para dos cosas: es requisito previo para muchas reclamaciones de seguros y alimenta las bases de datos policiales que ayudan a identificar patrones y desmantelar redes. Además, si hay fuga de datos de pacientes, la denuncia ante las Fuerzas de Seguridad puede ser valorada positivamente por la Agencia de Protección de Datos al evaluar posibles sanciones. Lo haces en la Unidad de Delitos Telemáticos, y el INCIBE te guía en el proceso.

¿Las copias en la nube protegen contra ransomware?

Depende de cómo estén configuradas. Si la copia en la nube es sincronización en tiempo real tipo Dropbox o Google Drive, y el ransomware cifra tus archivos locales, esos archivos cifrados se sincronizan inmediatamente a la nube, sobrescribiendo los buenos. Necesitas un sistema de copias con versionado y retención: que guarde versiones anteriores de los archivos durante al menos 30 días. Muchos software médicos en la nube tienen esto, pero hay que verificarlo explícitamente y probarlo. En mi clínica hago una restauración de prueba cada tres meses para confirmar que las copias funcionan realmente.

¿Merece la pena contratar un seguro de ciberriesgo?

Para una clínica, cada vez más. Las pólizas específicas de ciberriesgo médico cuestan entre 300 y 800 euros anuales dependiendo del volumen de datos y suelen cubrir: pago de rescate si es inevitable, peritaje forense, notificación a pacientes, defensa legal ante reclamaciones y ante la Agencia de Protección de Datos. Importante: muchas tienen letra pequeña exigiendo medidas mínimas de seguridad. Si no tienes copias de seguridad o antivirus actualizado, pueden negarse a pagar. Lee las condiciones antes de contratar y asegúrate de cumplir los requisitos.

Conclusión práctica

Después de ver a compañeros sufrir ataques de ransomware, mi conclusión es clara: la protección básica es asequible, requiere poco tiempo y marca una diferencia enorme. No necesitas ser experto en informática ni gastarte miles de euros. Necesitas tres cosas: copias de seguridad desconectadas, actualizaciones al día y un equipo mínimamente formado para no picar en anzuelos evidentes.

Lo que no puedes permitirte es pensar que a ti no te va a pasar. Porque cada vez les pasa a más clínicas pequeñas, precisamente a las que creían que eran demasiado insignificantes para ser atacadas. No lo eres. Eres un objetivo fácil con datos valiosos y poco tiempo para recuperarte. Invierte una tarde en implementar las medidas básicas de este artículo. Puede ahorrarte una llamada desesperada a las once de la noche como la que recibí yo.