A Decade of Healthcare Cyber Threats: Empirical Analysis, Evidence-Based Prioritisation, and AI Threat Model

Imagina el mundo digital como una ciudad gigante y bulliciosa donde cada edificio es un tipo diferente de negocio. Algunos edificios venden juguetes, otros venden ropa, pero un vecindario específico es la propiedad inmobiliaria más valiosa de la ciudad: el distrito de los hospitales. ¿Por qué? Porque dentro de estos edificios, la gente guarda secretos que salvan vidas (como registros médicos) y hace funcionar máquinas que literalmente mantienen vivas a las personas. Si un ladrón entra en una juguetería, podría robar algunos muñecos de acción. Si entra en un hospital, puede tomar a todo el vecindario como rehén, exigiendo un rescate para volver a encender las luces, o puede robar secretos para venderlos en el mercado negro. Debido a esto, los "ladrones" (ciberdelincuentes) han intentado entrar durante años, pero ya no solo usan palancas. Han aprendido a usar capas de invisibilidad.

Para entender cómo rastrear a estos ladrones, los expertos en seguridad utilizan un mapa gigante y vivo llamado MITRE ATT&CK. Piensa en este mapa no como una lista de cerraduras, sino como un catálogo de movimientos. No se limita a decir "rompieron la ventana"; dice "usaron una palanca", "forzaron la cerradura" o "entraron por la puerta principal porque el dueño la dejó abierta". Este mapa ayuda a los defensores a saber qué trucos deben vigilar. Otra herramienta es la lista de Vulnerabilidades Explotadas Conocidas (KEV) de la CISA. Si el mapa ATT&CK es el catálogo de movimientos, la lista KEV es el tablero de "Los Más Buscados". Solo enumera las cerraduras rotas y las ventanas abiertas específicas que los ladrones realmente han usado para entrar recientemente, ignorando todos los agujeros teóricos que nadie ha tocado todavía. La gran pregunta que los investigadores se han estado haciendo es: "¿Están los guardias de seguridad vigilando las puertas correctas?".

Este documento realiza un análisis profundo de las intrusiones digitales en hospitales de la última década para responder a esa pregunta. Los investigadores actuaron como detectives digitales, reuniendo una colección masiva de 1,214 "reportes de crímenes" de 2017 a 2024. Observaron a 44 grupos diferentes de atacantes, que van desde bandas de crimen organizado hasta espías de estados-nación, y rastrearon exactamente qué movimientos utilizaron. Lo que encontraron es un poco un giro en la trama. Durante mucho tiempo, los guardias de seguridad fueron entrenados para vigilar los movimientos "ruidosos": aquellos donde un ladrón rompe una ventana (Acceso Inicial) o esconde una nota secreta bajo una alfombra (Persistencia). Pero el documento muestra que los ladrones han cambiado su estilo. Ahora son maestros del movimiento "silencioso". En lugar de entrar a la fuerza y esconderse, están usando las propias llaves del dueño y entrando directamente por la puerta principal, mezclándose con la multitud normal.

El estudio revela que el movimiento más común que utilizan estos atacantes hoy en día es la Evasión de Defensa (Defense Evasion), que representa aproximadamente el 15% al 20% de todas sus acciones cada año. Este es el arte de permanecer invisible. En contraste, los movimientos de la vieja escuela como "esconderse en el ático" (Persistencia) y "romper la puerta principal" (Acceso Inicial) han disminuido significativamente en la frecuencia con la que aparecen en la distribución de datos durante el periodo 2017–2024, cayendo de porcentajes de dos dígitos a cero en el uso de técnicas observadas. Esto no significa que estas tácticas estén extintas o que nunca se usen, sino que ya no son las tácticas primarias vistas en los datos en comparación con el aumento de los métodos más sigilosos. Los atacantes se han dado cuenta de que si usan herramientas legítimas que el hospital ya posee —como el propio centro de mando de la computadora o las credenciales de acceso válidas del personal— no dejan huellas. Es como un ladrón que no fuerza la cerradura, sino que espera a que el dueño abra la puerta y luego simplemente entra y actúa como si perteneciera al lugar.

Esta es la parte aterradora: los guardias de seguridad siguen buscando huellas. El documento encontró una "inversión estructural", lo que significa que el consejo de seguridad es más fuerte precisamente donde los ladrones son menos activos, y más débil donde los ladrones son más activos. Los guardias han construido sensores increíbles para atrapar los robos ruidosos y desordenados al final de un crimen, pero casi no tienen sensores para los movimientos silencios e invisibles que ocurren al mismísimo principio. Los investigadores identificaron 42 "movimientos" específicos que están ocurriendo ahora mismo pero que apenas están siendo vigilados. Estas son las prioridades máximas para que los hospitales las solucionen de inmediato.

Aún más interesante, el documento muestra que esto no se trata solo de computadoras viejas. Los hospitales están comenzando a usar Inteligencia Artificial (IA) para ayudar a los médicos a diagnosticar pacientes. Los investigadores encontraron que los mismos trucos "silenciosos" que los ladrones usan en las computadoras regulares funcionan perfectamente en estos nuevos sistemas de IA también. Un ladrón no necesita aprender una nueva forma de entrar en una IA; simplemente usa los mismos viejos trucos que ha estado usando durante años. El documento concluye que debemos dejar de construir la seguridad basándonos en lo que los ladrones solían hacer y empezar a construirla para lo que están haciendo ahora: entrar por la puerta principal, usar un uniforme y esperar que nadie note que no deberían estar allí. La buena noticia es que el documento proporciona una lista de tareas clara de 42 movimientos para bloquear, y para 12 de esos 42 técnicas, las herramientas de seguridad ya existen y pueden activarse ahora mismo de forma gratuita.