Un informe que acaba de realizar Proofpoint sobre el departamento de salud, saca a la luz la situación crítica en las que se encuentra este sector. La compañía ha analizado cientos de millones de correos maliciosos dirigidos a proveedores de salud, organizaciones farmacéuticas y aseguradoras de salud.
“Los ciberataques exponen datos de salud personales. El ransomware cierra salas de urgencias. Los correos electrónicos fraudulentos afectan a socios comerciales, pacientes y personal clínico. Estas amenazas perjudican la capacidad de la industria de Salud para atender a los pacientes”, indica Ryan Witt, responsable de Ciberseguridad para el Sector Salud en Proofpoint.
Pocas industrias tiene una misión más crítica, datos más sensibles y operativas más complejas que el sector Salud. Desafortunadamente, esto implica que estas compañías son difíciles de proteger.
Los datos reflejan la situación
-Existe un 30% de aumento en los ataques por correo sobre el mismo periodo del año anterior. Los correos han sido diseñados con el fin de simular que estos han sido previamente enviados por alguien conocido por la persona que los recibe.
-El 95% de las compañías afectadas registraron correos electrónicos falsificando sus propios dominios de confianza. Las compañías de salud atacadas registraron falsificaciones en sus dominios para dirigirse específicamente a pacientes y socios comerciales.
-Las organizaciones atacadas registraron, de media, 65 empleados atacados. Las personas atacadas no pertenecían a altos cargos, sino a otros perfiles administrativos más bajos con acceso privilegiado a información sensible.
“Los correos electrónicos fraudulentos afectan a socios comerciales, pacientes y personal clínico. Estas amenazas perjudican la capacidad de la industria de Salud para atender a los pacientes”
Cómo actúan los ciberdelincuentes en el sector salud
El informe de Proofpoint ha llegado a la conclusión de que, hoy en día, los ciberataques se dirigen a las personas y no sólo a la infraesctructura.
La mecánica que emplean los ciberdelincuentes es muy sencilla; engañan a los trabajadores de las organizaciones para que abran un archivo adjunto inseguro o un enlace dudoso que conduce a un sitio de malware. De esta forma, los delincuentes se hacen pasar por ejecutivos e indican al personal que transfiera dinero o envíe información confidencial. Esto produce que los pacientes se vean estafados.
Las empresas y organizaciones del sector Salud consideran ahora la ciberseguridad como un tema clave de seguridad del paciente, en su misión general de cuidado de la salud. Esta reciente preocupación se aleja del planteamiento de puro cumplimiento normativo de años anteriores, que situaba la ciberseguridad en el ámbito de los mecanismos para asegurar la financiación de la implementación de registros médicos electrónicos.
Principales conclusiones de Proofpoint
Numerosas compañías de salud objetivo de los ataques recibieron 43 correos electrónicos falsos el primer trimestre de 2019; entre ellos, un 55% incluía las palabras “pago”, “solicitud” o “urgente”.
A su vez, un 77% utilizaba direcciones URL maliciosas. De esta manera, los ataques basados en malware superaron el 50% del volumen de mensajes para phishing.
Los perfiles más atacados en el sector salud son los de empleados normales con acceso privilegiado a datos, sistemas o contactos sensibles. Y es que, solo el 50% de los emails enviados por dominios de compañías de salud pueden ser verificados por autentificación DMARC. Algunos factores como el acceso a datos o sistemas críticos y contar con una cuenta de correo electrónico pública, pueden convertir a cualquier persona dentro de las organizaciones en objetivo específico de los atacantes.
Un hilo común es el que une a todas las organizaciones afectadas por los ataques cibernéticos: atacan a las personas y no a la infraestructura. De esta manera, explotan la curiosidad de los trabajadores del sector salud, las limitaciones de tiempo en entornos de cuidados intensivos y su pasión por el servicio a los demás. Combatir estos ataques requiere un enfoque de seguridad nuevo y centrado en las personas.
