Cuando el ransomware secuestra un hospital, lo que está en juego no son datos: son personas

Hay una foto que resume esto mejor que mil cifras: un pasillo de hospital en penumbra y una camilla vacía, esperando. Cuando un ataque informático tumba los sistemas de un hospital, eso es lo que queda: todo detenido. Y este mes ha vuelto a pasar (otra vez un sistema hospitalario secuestrado), porque la sanidad se ha convertido en el objetivo favorito del ransomware. Conviene entender por qué, y por qué es mucho más grave de lo que parece.

Primero, ¿qué es el ransomware?

El ransomware ("programa de secuestro") es un tipo de malware que, una vez dentro, cifra todos los archivos de una organización y pide un rescate para devolverlos. En una empresa normal, es un desastre caro: días de parón, dinero perdido, quebraderos de cabeza. En un hospital, la palabra que cambia todo es otra: peligroso.

Porque ahí lo que se apaga no es una hoja de cálculo. Es la máquina de la que depende que alguien salga adelante.

Qué pasa de verdad cuando cae un hospital

No es una abstracción. Cuando los sistemas caen, el efecto dominó es inmediato:

• Se pierde el acceso al historial clínico. El médico no sabe qué alergias tienes, qué tomas, qué te pasó la última vez.
• Se caen las pruebas. Imagen (TAC, radiografías), resultados de laboratorio… todo lo que hoy es digital deja de estar disponible.
• Se aplazan cirugías no urgentes, y a veces también las urgentes.
• Se desvían ambulancias a otros hospitales más lejanos, con lo que eso significa cuando el reloj corre.
• El personal vuelve al papel y al boli, más lento y más expuesto a errores.

No es teoría: distintos estudios ya han relacionado los ataques a hospitales con peores resultados para los pacientes, incluida más mortalidad. El daño ha saltado de lo digital a lo físico.

Por qué los hospitales son el objetivo perfecto

Los atacantes no eligen a los hospitales por casualidad. Es pura y fría lógica criminal:

• No pueden permitirse estar parados. Con vidas de por medio, la presión para pagar rápido el rescate es máxima. El atacante lo sabe.
• Son difíciles de proteger. Conviven equipos modernos con sistemas viejísimos que no se pueden apagar ni actualizar, y miles de dispositivos conectados (bombas de infusión, monitores, máquinas de imagen), muchos con seguridad de hace décadas.
• Sus datos valen oro. Un historial médico completo se vende en el mercado negro mucho más caro que un número de tarjeta: no puedes "cancelar" tu grupo sanguíneo ni tus enfermedades.

Junta las tres y tienes a alguien desesperado y a la vez blando. El sueño de cualquier extorsionador.

La parte que da rabia

Aquí no hay épica de "hacker genial". Hay gente que decide, a sangre fría, apretar donde más duele: exactamente en el sitio donde el pánico y la urgencia obligan a pagar. Algunos grupos presumen de "no tocar hospitales"; muchos otros ni se molestan en fingirlo. Es la extorsión en su versión más cínica, usando a los pacientes como rehenes.

Qué se puede hacer (sin humo)

La defensa de un hospital es un trabajo de fondo, pero las claves no son mágicas:

• Copias de seguridad offline y probadas. Que un cifrado no pueda alcanzarlas, y que de verdad se sepan restaurar (una copia que nunca se ha probado no es una copia, es un deseo).
• Segmentar la red. Aislar los equipos médicos y los sistemas críticos para que un ordenador infectado en administración no arrastre al quirófano.
• 2FA y mínimo privilegio, otra vez lo básico: que una contraseña robada no abra el hospital entero.
• Planes de incidente y simulacros. Saber cómo se sigue atendiendo con los sistemas caídos, ensayado antes de que pase.
• Y, de fondo, invertir. La ciberseguridad sanitaria lleva años infrafinanciada. Protegerla no es un gasto de informática: es seguridad del paciente.

El fondo del asunto

Durante mucho tiempo, un ciberataque significaba perder archivos. Hoy puede significar un diagnóstico que llega tarde. Esa camilla vacía del pasillo es la nueva cara del ransomware: el recordatorio de que, cuando el objetivo es un hospital, detrás de cada sistema caído hay una persona esperando.

Proteger la infraestructura digital de la sanidad ha dejado de ser un asunto técnico. Es, literalmente, cuidar de quien algún día estará en esa camilla. Puede que seas tú.