Ransomware
En el Sector Salud

El Ransomware (derivado de los términos en inglés ransom, que significa rescate, y software, programa informático) se ha consolidado como la amenaza cibernética más devastadora y lucrativa del siglo XXI. No se trata de un virus común que ralentiza el sistema o despliega publicidad molesta; es un arma digital diseñada con fines de extorsión financiera directa.

Técnicamente, es un tipo de código malicioso sofisticado que, una vez ejecuta sus instrucciones, restringe por completo el acceso a los archivos, bases de datos, aplicaciones o sistemas operativos de un equipo o de toda una infraestructura institucional. Esta restricción se logra mediante el cifrado (o encriptación): un proceso matemático avanzado que transforma los datos legibles en un bloque de código caótico e incomprensible. Una vez completado este proceso, los ciberdelincuentes exigen un rescate económico casi siempre a través de criptomonedas como el Bitcoin debido a la dificultad para rastrear estas transacciones a cambio de proveer una supuesta clave de descifrado.

Un ataque de Ransomware no es un evento instantáneo; es un proceso coordinado que se ejecuta de manera silenciosa a través de un ciclo de vida bien definido. Comprender estas fases es crucial para que todo el personal del sistema de salud (administrativos, médicos, enfermeras y técnicos) sepa en qué momento se puede romper la cadena del ataque.

Ciclo de Vida del Ataque

• Fase 1: Infiltración e Infección inicial: Infiltra el perímetro de seguridad institucional o de la red hospitalaria valiéndose principalmente del Phishing (falsos correos institucionales o judiciales) o mediante dispositivos USB contaminados. El Ransomware ya no se limita a archivos comprimidos (.zip o .rar) o macros de Office. Ahora, los ciberdelincuentes ocultan el código malicioso en archivos de imagen (.png, .jpg) o archivos multimedia y de audio. Al abrir una fotografía o captura que parece legítima, el malware aprovecha vulnerabilidades ocultas en los programas visores para ejecutar el virus en segundo plano, tomando el control de la computadora de manera inmediata y silenciosa.
• Fase 2: Reconocimiento y Propagación Lateral: Escanea minuciosamente la red interna del Ministerio, del SEDES o del hospital afectado. Actuando como un espía silencioso, el malware rastrea computadoras conectadas, bases de datos e infraestructura central donde se procesan los sistemas de salud y el Sistema Único de Salud (SUS), con el objetivo de infectar la mayor cantidad de nodos y servidores posibles antes de levantar sospechas. El Ransomware aprovecha la existencia de malas prácticas técnicas, como recursos compartidos de forma global y desprotegida (por ejemplo, compartir el disco completo D: de un equipo de soporte sin autenticación ni segmentación de red). El virus utiliza estos accesos abiertos para saltar en segundos de una terminal común a servidores críticos, indexando repositorios completos que debieron estar estrictamente aislados.
• Fase 3: Cifrado y Bloqueo de Datos: Inicia la fase destructiva una vez alcanzada la máxima extensión en la red. Utilizando algoritmos criptográficos de grado militar (como AES-256 o RSA), el Ransomware comienza a reescribir y encriptar los archivos a velocidad imperceptible. Los documentos cambian de icono y adquieren extensiones extrañas (ej. informe.docx pasa a llamarse informe.docx.locked). El usuario pierde el acceso de forma inmediata.
• Fase 4: Extorsión y Nota de Rescate: Despliega de forma automática un archivo de texto o cambia el fondo de pantalla mostrando las instrucciones del secuestro una vez inutilizada la información. En esta nota se detalla el monto económico exigido, el monedero de criptomonedas y el límite de tiempo estricto para pagar.
• Fase 5: Presión Adicional (Doble Extorsión): Exfiltra (roba) copias de bases de datos confidenciales durante la fase de propagación. Si la institución o el hospital decide no pagar el rescate porque cuenta con respaldos, los criminales amenazan con publicar la información confidencial de pacientes, personal médico o registros administrativos en la Dark Web, dañando de forma irreversible la reputación del Estado.

Para comprender la magnitud de la amenaza en todo el ecosistema de salud pública, debemos analizar tanto el comportamiento del código en el equipo como sus modelos de operación:

El Ransomware requiere explotar un descuido operativo o una configuración permisiva para ingresar a la red de salud. Los ciberdelincuentes despliegan múltiples tácticas adaptadas a la rutina de los centros médicos y oficinas:

• A. Correos Electrónicos Fraudulentos (Phishing): Engaña y manipula al personal simulando alertas de urgencia como: "Su cuenta será suspendida de inmediato", "Factura pendiente de pago", "Actualice su contraseña urgentemente" o "Cuenta con un Requerimiento / Proceso Judicial".
• B. Archivos Adjuntos Maliciosos: Camufla y transporta el código dañino dentro de formatos documentales cotidianos en la gestión pública e interhospitalaria (PDF, Word, Excel, ZIP, facturas o memorándums falsos), activándose al abrir el documento o autorizar macros.
• C. Contraseñas Débiles y Predecibles: Descubre y violenta los accesos a los sistemas mediante herramientas automáticas de fuerza bruta. Los delincuentes aprovechan contraseñas simples basadas en patrones comunes o nombres institucionales (ej. 123456, admin123, Ministerio123, Sistemas2026).
• D. Software Desactualizado (Sistemas sin Parches): Explota las brechas de seguridad en sistemas operativos y navegadores que no han sido actualizados por el equipo técnico del hospital o establecimiento, permitiendo ingresos remotos automatizados.
• E. Dispositivos USB Infectados (El Peligro del Entorno Familiar): Introduce el virus físicamente en los puertos de los equipos de la institución. Las memorias USB personales se contaminan silenciosamente en los domicilios porque en los hogares no se cuenta con antivirus licenciados ni inversión en seguridad informática. Al conectar ese mismo pendrive en el hospital o establecimiento, el malware salta al ecosistema del Estado.
• F. Accesos Remotos Inseguros y Servicios Expuestos: Rastrea y compromete servicios publicados hacia Internet sin protección adecuada (protocolos RDP, VPNs mal configuradas o aplicaciones web vulnerables), usándolos como cabeza de playa para apoderarse de la infraestructura central.

Si el Ransomware lograra infiltrarse en la infraestructura del Ministerio, de un SEDES o de un hospital, las consecuencias serían inmediatas y severas. Involucraría un costo económico sumamente elevado para la remediación y restauración de los equipos de computación y servidores. Asimismo, el trabajo cotidiano de los funcionarios y del personal de salud se vería completamente detenido por un tiempo prolongado, congelando la gestión y la atención médica debido a la imposibilidad de acceder a las herramientas informáticas elementales.

Los daños provocados por este esquema de extorsión se consolidan en los siguientes ejes destructivos:

• A. Interrupción de Servicios y Operaciones: Paraliza la continuidad de los flujos de gestión pública y los canales informáticos de salud:
  • Sistemas Administrativos: Bloquea la ejecución presupuestaria, contrataciones y trámites internos.
  • Correo Institucional: Corta la comunicación oficial entre el Ministerio, los SEDES, programas nacionales y establecimientos de salud.
  • Aplicaciones de Salud: Inhabilita plataformas críticas de monitoreo epidemiológico, el registro del Sistema Único de Salud (SUS), el control de vacunación, entre otros.
  • Gestión Documental: Congela la tramitación interna (SICAP) y la correspondencia digital externa (SOFTCOM) indispensable para la legalidad institucional.
• B. Pérdida Definitiva de Información: Inutiliza el patrimonio documental acumulado durante años. Al quedar encriptados los archivos bajo algoritmos militares sin políticas de respaldo eficientes, la pérdida se vuelve permanente, desapareciendo proyectos de inversión hospitalaria e informes técnicos estratégicos.
• C. Fuga de Datos y Quiebre de Confidencialidad: Exfiltra y expone activos de información sensibles ante el internet público o la Dark Web, comprometiendo datos agregados de pacientes (estadísticas y censos de salud), información financiera de proveedores y correspondencia clasificada.
• D. Impacto Económico e Institucional: Agota recursos públicos destinados a la salud de la población para atender la crisis informática, abarcando el costo de recuperación y reconstrucción de los sistemas, las horas de trabajo perdidas por el personal varado y la contratación de especialistas externos para la respuesta forense.
• E. Daño Reputacional y Riesgo para la Atención en Salud: Debilita la confianza de la ciudadanía en la capacidad de custodia del Estado. En el sector salud, una interrupción de la infraestructura tecnológica de un hospital o ente administrativo afecta de manera directa la continuidad de los servicios a la población.

El secuestro de infraestructuras sanitarias gubernamentales y hospitalarias no es un escenario de ciencia ficción. En los últimos años, múltiples organizaciones públicas y ministerios alrededor del mundo han sufrido ataques devastadores que demuestran la agresividad de las mafias cibernéticas, tal como ocurrió en algunas dependencias del Estado Plurinacional de Bolivia en la presente gestión.

A continuación, analizamos los casos internacionales más impactantes en el sector público y hospitalario:

• A. El Ataque Continental a los Servicios de Salud de Irlanda (HSE): Paraliza el sistema de salud pública de todo un país. El Servicio Ejecutivo de Salud (HSE) de Irlanda sufrió un ataque masivo por parte del grupo Conti, que vulneró la red central mediante un correo de Phishing. Esto obligó a apagar de forma preventiva todos sus servidores y sistemas informáticos nacionales. La restauración total tomó meses y costó más de 100 millones de dólares, afectando el procesamiento de datos médicos y gestiones presupuestarias del Estado.
• B. El Secuestro de los Sistemas en Costa Rica: Extorsiona la operación institucional de un Gobierno latinoamericano. El grupo Conti atacó secuencialmente los servidores de la Caja Costa Rricense de Seguro Social (CCSS) y el Ministerio de Salud, bloqueando las plataformas informáticas de gestión de cobros, planillas estatales y los sistemas centralizados de vigilancia epidemiológica. La parálisis obligó al Gobierno a decretar un Estado de Emergencia Nacional ante el incidente informático.
• C. La Crisis del Centura Health y el Hospital Universal Health Services (UHS): Inutiliza la operación clínica directa en una de las mayores cadenas de hospitales de la región. UHS, que administra una red masiva de hospitales y centros asistenciales, sufrió un ataque de Ransomware a gran escala por parte del linaje Ryuk. El malware bloqueó el acceso a los servidores de farmacia, laboratorio y radiología de múltiples centros médicos en cuestión de minutos. El impacto financiero directo para la mitigación del incidente, la contratación de consultoría de respuesta forense urgente, la recuperación total de los sistemas informáticos dañados y las pérdidas operativas por desvío de ambulancias ascendió a un costo aproximado de 67 millones de dólares.
• D. La Infiltración al Sistema de Salud de Londres (Reino Unido): Interrumpe la transferencia de datos analíticos para la red de salud pública británica. Un ataque de Ransomware del grupo Qilin contra el proveedor público de servicios analíticos Synnovis provocó una crisis que afectó a los principales hospitales públicos de Londres. El malware encriptó los servidores encargados de procesar análisis de sangre y transfusiones, obligando a cancelar miles de citas y cirugías planificadas debido a la falta de comunicación de datos administrativos centrales.

La seguridad de la red de salud pública de Bolivia depende de cada terminal de trabajo. Debido a que los sistemas hospitalarios, administrativos y epidemiológicos se encuentran interconectados, la protección de su computadora es la barrera que resguarda la salud de la información de todo el país.

Para blindar su equipo, aplique rigurosamente estas medidas tanto en su establecimiento laboral como en los dispositivos de su hogar:

La seguridad informática de la red de salud no recae únicamente en las herramientas técnicas instaladas, sino en el comportamiento diario y la cultura preventiva que adopta el personal en cada uno de sus entornos. Las medidas de prevención humanas constituyen la primera línea de defensa activa para evitar que un descuido de oficina o una actividad recreativa familiar pongan en riesgo la continuidad de los servicios de salud del país.

El intercambio de correspondencia digital, reportes epidemiológicos y planillas administrativas constituye una tarea diaria indispensable para la coordinación del sector salud, pero al mismo tiempo representa el vector de ataque más explotado por las mafias cibernéticas para introducir malware. En la realidad operativa de nuestro sistema sanitario, mientras se cuenta con una plataforma de correo institucional protegida, la gran mayoría de los hospitales, SEDES y establecimientos de salud locales dependen del uso de cuentas de correo electrónico personales (como Gmail o Outlook) para cumplir sus funciones cotidianas. Este escenario incrementa exponencialmente los riesgos de seguridad, debido a que las bandejas personales carecen de los filtros técnicos y barreras perimetrales del Estado, dejando expuesto al personal ante tácticas de Phishing.

Para esterilizar las comunicaciones de estas amenazas, el personal de salud debe verificar rigurosamente la identidad del remitente antes de interactuar con cualquier mensaje, inspeccionando minuciosamente la dirección electrónica completa y desconfiando de inmediato de comunicados imprevistos o solicitudes extrañas, incluso si parecen provenir de colegas conocidos, ya que sus cuentas personales de Gmail podrían estar clonadas o comprometidas. Asimismo, se debe evitar taxativamente participar en cadenas de correo electrónico, ya sean de carácter informativo, religioso, de entretenimiento o de alertas falsas; si algún remitente lo incorpora en una de estas cadenas, la instrucción obligatoria es clasificar el mensaje inmediatamente como Spam o correo no deseado, puesto que este medio carece por completo de control técnico, no se puede garantizar si las cuentas que integran la lista están activas o infectadas, y representa la herramienta perfecta utilizada por los ciberdelincuentes para recolectar direcciones válidas y dirigir campañas masivas de virus destructivos. De igual manera, se debe desconfiar de aquellos correos que utilicen un sentido de urgencia psicológica o generen falsas alarmas, tales como requerimientos judiciales ficticios o advertencias de bloqueo de cuentas, diseñados explícitamente para forzar un error humano a través del miedo. Finalmente, el personal debe revisar con extrema cautela todo archivo adjunto, considerando que los atacantes han evolucionado de forma drástica y ya no solo ocultan malware en formatos comprimidos tradicionales (.zip, .rar) o documentos de Office con macros; en la actualidad, camuflan el Ransomware dentro de archivos de imagen comunes (.png, .jpg) o archivos multimedia, los cuales ejecutan el código dañino de forma silenciosa en segundo plano al ser visualizados en las computadoras del hospital o establecimiento.

Las memorias USB y los discos duros externos actúan como herramientas cotidianas para trasladar reportes o información clínica, pero representan un altísimo riesgo biológico-digital al introducir malware de forma física directamente tras los perímetros de seguridad del hospital o establecimiento. Las incidencias demuestran que el principal peligro radica en el "puente del hogar a la oficina": los pendrives personales de los funcionarios se contaminan silenciosamente en sus domicilios particulares debido a que en los hogares no se tiene la costumbre de invertir en seguridad informática ni se cuenta con antivirus licenciados. Al trasladar e insertar ese mismo dispositivo en las computadoras de la institución para copiar un archivo o imprimir un documento, el virus salta de inmediato al ecosistema informático del Estado.

Para mitigar este vector, queda terminantemente prohibido conectar memorias USB de procedencia desconocida, encontradas en pasillos o áreas comunes del hospital, ya que suelen ser sembradas deliberadamente por atacantes; todo dispositivo de almacenamiento externo de uso institucional debe ser escaneado de forma obligatoria por el software antivirus de la terminal antes de abrir cualquiera de sus archivos, adoptando una conducta estricta de higiene digital.

Cuando un secuestro criptográfico avanzado logra evadir las barreras perimetrales y los sistemas antivirus, la política de copias de seguridad (Backups) se transforma en la última línea de defensa institucional y en el único mecanismo real para recuperar la operatividad sin ceder a la extorsión financiera de los criminales.

Para que un respaldo sea verdaderamente efectivo en un hospital, SEDES o centro de salud, la información crítica de valor como planillas administrativas, reportes de vacunación y bases de datos epidemiológicas debe respaldarse de manera periódica y automatizada, evitando la dependencia de la memoria del usuario y resguardando el avance diario de la gestión pública.

La velocidad de reacción del personal ante los primeros síntomas de una infección (como la ralentización extrema del equipo, la alteración de iconos o la aparición de archivos con extensiones extrañas) es el factor determinante para contener el virus y salvar la infraestructura del hospital, SEDES o Ministerio. Ante la sospecha mínima de un ataque en curso, el funcionario debe ejecutar de forma inmediata el siguiente protocolo de emergencia:

• Desconecte el equipo de la red: Aísle la computadora de forma física e inmediata. Si utiliza una conexión por cable, desenchufe el cable de red (Ethernet) de la parte posterior del equipo; si está conectado mediante Wi-Fi, desactive la conexión inalámbrica desde la barra de tareas o apague el interruptor de red del dispositivo. Esta acción rompe instantáneamente la "Fase de Propagación Lateral" del Ransomware, impidiendo que el virus salte hacia los servidores centrales, bases de datos o el equipamiento médico conectado en red.
• Informe inmediatamente a TI: Comuníquese de urgencia con el Área de Tecnologías de la Información de su establecimiento, hospital o SEDES. Reporte el incidente de forma directa sin importar la hora o el día, entendiendo que cada minuto que el malware opera sin contención técnica multiplica los daños en la infraestructura sanitaria pública.
• Registrar lo observado: Anote minuciosamente los detalles visibles del incidente mientras espera la llegada del personal de soporte técnico. Registre qué aplicaciones o archivos específicos mostraron el error, si apareció alguna ventana emergente extraña y apunte de forma exacta el nombre de la extensión maliciosa que se agregó a sus documentos o el mensaje que visualiza en la pantalla.
• Seguir las instrucciones del personal técnico: Acatar de forma estricta y disciplinada cada una de las directrices emitidas por los encargados de sistemas informáticos. El personal de salud y administrativo debe ponerse a disposición del Área de TI para facilitar el aislamiento de los equipos y colaborar con las tareas institucionales de mitigación.

En medio de una crisis informática, la desesperación o el desconocimiento pueden llevar a cometer errores operativos que agraven la situación, destruyan la evidencia forense o aceleren la destrucción de los datos del hospital o institución. Bajo ninguna circunstancia el personal debe incurrir en las siguientes conductas de alto riesgo:

• No apague ni encienda repetidamente el equipo: Evite reiniciar la computadora infectada pensando que así se solucionará el problema. Apagar de forma incorrecta o reiniciar el sistema operativo puede activar rutinas ocultas del Ransomware que aceleran el cifrado de archivos, o peor aún, puede corromper la memoria RAM del equipo, eliminando pistas forenses críticas que el personal de TI necesita para identificar la cepa del virus y buscar una solución.
• No pagar el rescate: Rechace cualquier intento de negociación o pago económico exigido en las notas de secuestro. Las instituciones públicas del Estado Plurinacional de Bolivia tienen prohibido financiar actividades delictivas; además, el pago no garantiza en absoluto que los criminales entreguen la clave de descifrado, y solo sirve para financiar a las mafias cibernéticas, convirtiendo al hospital o establecimiento en un blanco permanente de futuros ataques.
• No conectar dispositivos USB u otros medios: Prohíba la inserción de memorias USB, discos duros externos o teléfonos móviles a la computadora afectada con la intención de "salvar" o copiar los archivos que aún no han sido encriptados. El Ransomware tiene una velocidad de infección imperceptible y lo primero que hará será saltar y secuestrar el dispositivo USB que acaba de conectar, destruyendo sus respaldos personales e incrementando el riesgo de propagación física hacia otros equipos sanos.
• No intentar ocultar el incidente: Elimine el miedo a las represalias administrativas y jamás intente ocultar o callar el problema. Tratar de resolver la infección por cuenta propia o ignorar las alertas de la pantalla por temor a sanciones solo le otorga tiempo vital al Ransomware para expandirse silenciosamente por toda la red de salud nacional, transformando un incidente local controlable en una catástrofe sanitaria irreversible.

La ciberseguridad se ha consolidado como un pilar fundamental e indispensable de la atención sanitaria moderna en todo el Estado Plurinacional de Bolivia. El Ransomware ha dejado de ser un simple problema técnico o administrativo exclusivo de las áreas de informática; en la gestión actual, representa una amenaza crítica directa contra la continuidad de los servicios de salud y la seguridad de la población. La parálisis de los sistemas de información o del equipamiento médico de alta complejidad conectado a la red puede comprometer de forma inmediata diagnósticos y tratamientos esenciales, demostrando que proteger los datos y la infraestructura tecnológica es equivalente a resguardar la vida misma de los pacientes.

El factor humano constituye la primera y más importante línea de defensa activa dentro de la cadena de contención frente al cibercrimen. Ninguna inversión económica en infraestructura digital, firewalls de última generación o sistemas antivirus con licencia será completamente efectiva si el personal administrativo, médico y de enfermería de los SEDES y los hospitales de todos los niveles no adopta una cultura de higiene digital estricta. Evitar de forma taxativa la participación en cadenas de correo masivas, prohibir por completo el almacenamiento de claves en navegadores web, restringir el uso de memorias USB contaminadas en entornos familiares y desarrollar el hábito de leer minuciosamente cada alerta al navegar por internet son las acciones conductuales que verdaderamente cierran las ventanas de acceso a los atacantes.

La resiliencia y soberanía institucional del sistema nacional de salud radican en la capacidad de prevención, detección temprana y el aislamiento físico oportuno de los activos tecnológicos. La contención de una catástrofe informática y la protección del equipamiento biomédico dependen enteramente de la velocidad de reacción individual del funcionario ante los primeros síntomas de una infección en su terminal. Desconectar físicamente el equipo de la red y mantener políticas rigurosas de copias de seguridad completamente aisladas y fuera de línea (Offline) garantizan que el sector salud pueda resistir un ataque, salvaguardar el patrimonio documental del Estado y restaurar sus operaciones críticas sin ceder jamás ante la extorsión financiera de las mafias internacionales del secuestro digital.