Las mafias profesionalizadas detrás de ciberataques como el del Clínic: "Montan sus propios 'call centers'"

• Secuestros virtuales como el del hospital de Barcelona se han intensificado en los últimos años, muchas veces con éxito
• Detrás de ellos se esconden organizaciones muy especializadas, que buscan extorsionar a empresas e instituciones

Un ciberdelincuente sentado en su ordenador.

El ciberataque sufrido por el Hospital Clínic de Barcelona, que ha obligado a desprogramar decenas de cirugías y miles de visitas externas, vuelve a poner en evidencia la vulnerabilidad de empresas e instituciones ante este tipo de delitos. Cualquier ordenador conectado a internet es una puerta abierta a la entrada de contenido malicioso, que le convierte en objetivo potencial de bandas criminales cibernéticas cuyo grado de profesionalización se ha incrementado exponencialmente en los últimos años.

El método de extorsión utilizado contra el centro sanitario barcelonés es del tipo 'ransomware' o 'software de rescate', uno de los más habituales. Se trata de un programa que accede al sistema informático y encripta los ficheros, restringiendo así el acceso a determinadas partes o archivos. Para recuperar el control de los datos, las víctimas se ven obligadas a pagar una suma de dinero, en forma de moneda virtual, ya que así se garantiza el anonimato del ciberdelincuente. Ordenadores, tabletas y teléfonos móviles pueden ser el blanco de estos ataques.

En ciberseguridad, el riesgo cero es un ideal imposible de alcanzar, ya que no existe el programa informático perfecto, sin errores. Así, todo se reduce a una pugna entre cibercriminales, que intentan descubrir estas vulnerabilidades, y quienes se dedican a repeler sus ataques. Pero se trata de una carrera en la que los delincuentes parten con ventaja. "Por muy bueno que tú seas, por mucho que tú te actualices y trabajes, tienes enfrente a alguien con un interés económico fuerte, que normalmente va por delante, por lo que tienes que asumir que vas a la zaga", explica a RTVE.es Marta Beltrán Pardo, investigadora y profesora de la Universidad Rey Juan Carlos.

Para esta experta en ciberseguridad, aunque "es muy difícil generalizar", está "bastante claro" que las empresas y las instituciones públicas en España "no están suficientemente protegidas" ante intentos de extorsión como el sufrido por el Hospital Clínic de Barcelona. "Son ataques que en los últimos años están siendo una lacra, y están teniendo éxito demasiado a menudo", asegura.

Aunque Beltrán cree que, dentro de esta desprotección generalizada, hay diferencias importantes entre empresas privadas e instituciones públicas, ya que estas últimas se encuentran en una posición de mayor debilidad. "En las administraciones públicas falta muchísima inversión, y falta tener equipos de seguridad con recursos suficientes… Hay muchos problemas en ese sentido", opina, y lo contrapone a la empresa privada, donde "han avanzado más rápido". "En todas las empresas de cierto tamaño hay un director y un equipo de ciberseguridad, y se analizan los riesgos que se corren, y se hacen inversiones fuertes, aunque aun así también hay mucho que mejorar", agrega.

Sin embargo, también recalca que a su vez hay diferencias importantes dentro de las empresas privadas, por lo que generalmente el nivel de seguridad es proporcional al tamaño de la compañía. "En España tenemos mucha pyme, mucha mediana y pequeña empresa, que a veces no invierte lo que debería o al menos no como lo debería, porque no solo es un tema de invertir dinero, sino de invertirlo bien, en aquello que es importante", expresa.

La importancia de los propios usuarios

Los especialistas en seguridad informática recuerdan que no solo instituciones y corporaciones tienen un papel activo a la hora de proteger la seguridad en el ciberespacio, ya que un filtro protector muy importante está en manos de los propios usuarios, que en este caso suelen ser empleados o personal interno. "Parece que utilizan internet desconociendo que allí hay amenazas, gente mala, y cualquiera que tenga un ordenador conectado, puede recibir ataques desde cualquier parte del mundo, que pueden estar dirigidos específicamente contra él, o pueden ser ataques indiscriminados y ha tenido la mala suerte de que le haya llegado", declara a RTVE.es Carlos Jiménez, presidente de Secuware, una multinacional española que desarrolla software de seguridad

"En general, si estás conectado a internet tienes que tener en cuenta que cualquiera se puede intentar meter en tu casa y es imposible de proteger, porque siempre hay agujeros de seguridad", advierte, y deja claro que "para evitar que no entren los virus, la única solución es no estar conectado".

Para José Manuel Martín, profesor de la Universidad Carlemany, el ataque que ha sufrido el Clínic de Barcelona es "una excepción", puesto que los centros sanitarios "no son objetivos prioritarios" de estos delincuentes cibernéticos. "El interés principal de los atacantes por ransomware es hacer dinero, y un centro público no puede pagar un rescate a una organización criminal, aunque la solución alternativa sea más cara, porque tienen una imagen que mantener y un efecto sobre la opinión pública. Sin embargo, una empresa privada hace sus números, y si le sale más rentable pagar el rescate, lo va a pagar, que es en principio lo que hacen siempre.", describe a RTVE.es. El Hospital Clínic de Barcelona dejó claro desde el primer momento que no iba a satisfacer ninguna demanda económica.

Enorme grado de especialización

El grado de complejidad de estas organizaciones criminales se ha incrementado en los últimos años, hasta crear estructuras perfectamente coordinadas que sorprenden por su alto grado de profesionalización. En el caso del Clínic barcelonés, la Agència de Ciberseguretat de Catalunya ha podido identificar a los responsables del ciberataque, RansomHouse, un grupo especializado en ataques ransomware que opera desde fuera de España y que no es la primera vez que hackea a un centro sanitario.

"Antes eran ataques indiscriminados que se lanzaban, y el que picaba, picaba. Tenían éxito uno de cada muchos miles. Pero ahora son mucho más personalizados, se gastan dinero investigando a las víctimas, mientras que los equipos están formados por muchas personas que no se conocen entre sí y están distribuidas por todo el mundo. Se hacen ataques que están muy planeados", expone José Manuel Martín.

En este sentido, la también profesora Marta Beltrán coincide en que se trata de organizaciones "tremendamente profesionales". "Tienen perfiles dentro de la mafia y cada uno tiene su función. Es increíble, porque en los últimos años han llegado a montar sus propios call centers virtuales, ya que cuando ellos piden el rescate, tiene que haber una negociación con la víctima, y necesitan a gente que pueda hablar distintos idiomas", describe. Por supuesto, todo sin dejar ningún tipo de huella: "Los pagos se hacen con criptomonedas, y también utilizan proxies y una serie de técnicas que imposibilitan que se pueda seguir luego la traza de la negociación".

Consejos para evitar extorsiones

Para evitar este tipo de extorsiones, los expertos recomiendan tener copias de seguridad de los sistemas informáticos constantemente actualizadas. En caso de infección, se podrían formatear los discos duros y reinstalar las copias, recuperando los sistemas sin necesidad de pagar ningún rescate.

Aunque también hay una serie de consejos cuyo carácter es sobre todo preventivo. Aquí, las medidas pasan por tener sistemas operativos y aplicaciones siempre actualizados a la última versión, para que las vulnerabilidades conocidas estén parcheadas y no puedan ser explotadas por estas mafias virtuales. También es muy importante disponer de sistemas antivirus, antimalware. Y que no haya credenciales filtradas, es decir, contraseñas del personal interno que se hayan visto comprometidas en algún momento y puedan estar vendiéndose en el mercado negro.

Finalmente, quizá lo más básico, es que todos los usuarios tengan un mínimo de formación y concienciación sobre este problema, para que no pinchen en enlaces ni archivos sospechosos que les lleguen en un correo electrónico. "A veces estamos pensando en ataques muy sofisticados y no siempre son así. Muchas veces es jugar a la lotería. Montan una campaña de phishing muy burda, pero tienes la mala suerte de que alguien de tu personal cae desde un equipo interno, y ya se ha liado, sin necesidad de explotar ninguna vulnerabilidad sofisticada", concluye Marta Beltrán.