Cuando el ransomware puede costar vidas

Era solo cuestión de tiempo: con campañas de ransomware apuntando a sectores clave de la sociedad tenía que terminar por ocurrir, y desgraciadamente ya ha pasado. Y es que tal y como informa hoy Associated Press, las autoridades alemanas han informado de un fallecimiento que tendría, como causa indirecta, un ataque de ransomware sufrido por el centro hospitalario en el que esa persona debería haber sido atendida.

El fatal suceso se produjo la semana pasada, cuando una mujer que debía ser trasladada de urgencia al Hospital Clínico de la Universidad de Düsseldorf tuvo que ser derivada a otro centro hospitalario a consecuencia de que un ataque de ransomware había inhabilitado los sistemas del primero. Pese a que el personal sanitario hizo todos los esfuerzos en su mano para que el traslado fuera efectivo, los 20 minutos que separaban un centro del otro provocaron este terrible desenlace.

Según han informado las autoridades, los sistemas del hospital de Düsseldorf sufrieron la semana pasada un ataque que, según algunas fuentes, habría aprovechado la vulnerabilidad  CVE-2019-19781 que afecta a Citrix Application Delivery Controller (ADC) y, aprovechando la misma, habrían procedido al secuestro de la infraestructura. Hasta el momento no hay constancia de que se produjera también exfiltración de la información, algo que podría hacer del incidente algo mucho más grave, pues no olvidemos que los registros de salud cuentan con grado de protección singularmente alto dentro de la GDPR.

Un informe del ministro de justicia del estado de Renania del Norte-Westfalia afirma que la semana pasada se cifraron 30 servidores en el hospital y se dejó una nota de extorsión en uno de los servidores,según informa la agencia de noticias dpa. La nota, que pedía a los destinatarios que se pusieran en contacto, pero no mencionaba ninguna suma, estaba dirigida a la Universidad Heinrich Heine, a la que está afiliado el hospital de Dusseldorf, y no al hospital en sí. Es decir, el destinatario original del ataque de ransomware era la universidad, no el hospital.

Según esa misma información, la policía de Düsseldorf estableció contacto con los responsables del ataque, informando a los mismos de que, a consecuencia de su error, era la infraestructura del hospital, la que habían atacado y secuestrado, una acción que, como se demostró posteriormente, ponía en peligro la vida de los pacientes. Como respuesta a dicha comunicación, los atacantes retiraron la petición de rescate y entregaron la clave de descifrado a las autoridades, para posteriormente desaparecer, seguramente con el fin de evitar ser identificados y culpados por el ataque de ransomware y sus consecuencias.

La fiscalía ha iniciado una investigación contra los perpetradores del ataque de ransomware bajo sospecha de homicidio negligente a consecuencia del fallecimiento del pasado viernes. La víctima, que debería haber sido transportada al clínico universitario, fue enviada en su lugar al más cercano en la localidad de Wuppertal, a unos 32 kilómetros de distancia. A consecuencia del tiempo extra de traslado, el personal médico no pudo comenzar a tratarla hasta más de una hora, lo que finalmente supuso su fallecimiento.