El 14 de mayo de 2021, el Servicio Ejecutivo de Salud (HSE) de Irlanda sufrió un importante ciberataque de ransomware que provocó el cierre de todos sus sistemas de TI en todo el país. [1] [2] [3] [4]
Fue el ataque cibernético más significativo contra una agencia estatal irlandesa y el mayor ataque conocido contra un sistema informático de un servicio de salud. [5] [6] Bloomberg News informó que los atacantes utilizaron el ransomware Conti . [7] El grupo responsable fue identificado como una banda criminal conocida como Wizard Spider , que se cree que opera desde Rusia. [8] [9] [10] Se cree que el mismo grupo atacó al Departamento de Salud con un ciberataque similar.
El 19 de mayo, el Financial Times revisó los datos privados de doce personas que habían aparecido en línea como resultado de la filtración. [11] El 28 de mayo, el HSE confirmó que se había publicado en línea información médica confidencial de 520 pacientes y documentos corporativos. [12]
Los atacantes comenzaron enviando un correo electrónico malicioso a una estación de trabajo el 16 de marzo de 2021. [13] El correo electrónico se abrió el 18 de marzo. [13] Se descargó un archivo malicioso de Microsoft Excel , que permitió a los atacantes acceder a los sistemas de HSE. [13] Los atacantes obtuvieron más acceso durante las semanas siguientes. [13] El software antivirus de HSE detectó actividad el 31 de marzo, pero no pudo bloquearla porque estaba configurado en modo de monitoreo. [13]
El 13 de mayo, el proveedor de ciberseguridad de HSE envió un correo electrónico al equipo de Operaciones de Seguridad informando de que se habían producido amenazas no gestionadas en al menos 16 sistemas desde el 7 de mayo. [13] El equipo de Operaciones de Seguridad pidió al equipo de servidores que reiniciara los servidores. [13]
El HSE fue alertado del ataque a las 4 a. m. del 14 de mayo de 2021. [14] El ataque afectó tanto a los sistemas nacionales como a los locales, involucrados en todos los servicios básicos, y el HSE desactivó su sistema de TI para protegerlo del ataque y darle tiempo para considerar opciones. [15]
El ataque ocurrió durante la pandemia de COVID-19 . El programa de vacunación contra la COVID-19 de Irlanda no se vio afectado por el ataque y se desarrolló según lo previsto; [7] sin embargo, el sistema de derivación de médicos generales y contactos cercanos a la COVID-19 no funcionaba, por lo que estas personas tuvieron que acudir a los centros de atención sin cita previa en lugar de asistir a una cita. [16] [1]
El diputado independiente Cathal Berry afirmó que el Centro Nacional de Seguridad Cibernética , responsable de la seguridad cibernética del Estado, sólo tenía 25 empleados, un presupuesto de 5 millones de euros al año, no tenía instalaciones específicas y su puesto de director había estado vacante durante un año debido a su salario de 89.000 euros al año. [17] [18] El Centro Nacional de Seguridad Cibernética depende del Departamento de Medio Ambiente, Clima y Comunicaciones . [19]
El Centro Nacional de Seguridad Cibernética identificó la herramienta de prueba de penetración Cobalt Strike, vendida por la empresa de TI estadounidense HelpSystems, como utilizada para moverse a través de los sistemas de HSE y del Departamento de Salud e infectarlos , para ejecutar archivos ejecutables y para implementar una variante del ransomware Conti . [14] [20] Cobalt Strike Beacon se detectó en los sistemas infectados, lo que permitió controlarlos y que el software se implementara de forma remota. [20]
El grupo responsable fue identificado como una banda criminal conocida como Wizard Spider , que se cree que opera desde San Petersburgo , Rusia. [8] [9] [10]
El ciberataque de ransomware tuvo un impacto significativo en las citas hospitalarias en todo el país, y muchas citas fueron canceladas, incluidos todos los servicios ambulatorios y de radiología. [21]
Varios hospitales describieron situaciones en las que no pudieron acceder a los sistemas y registros electrónicos y tuvieron que depender de registros en papel. [22] Algunos advirtieron sobre interrupciones significativas con la cancelación de citas de rutina, incluidos controles y ecografías de maternidad. [23]
El sistema de derivación para pruebas de COVID-19 se desconectó, lo que requirió que las personas con casos sospechosos asistieran a centros de pruebas de COVID-19 sin cita previa , en lugar de asistir a una cita. [16] El portal de registro de vacunación contra COVID-19 también se desconectó, pero luego volvió a estar en línea por la noche. [24]
La directora de operaciones del HSE, Anne O'Connor, dijo el 14 de mayo que algunos servicios de oncología y accidentes cerebrovasculares se habían visto afectados y que "la situación será muy grave si continúa hasta el lunes [17 de mayo]". Dijo que las preocupaciones más graves estaban relacionadas con los diagnósticos, ya que los sistemas de radiología habían dejado de funcionar, lo que impedía realizar tomografías computarizadas y otras exploraciones. [25] También se cancelaron una gran cantidad de citas para pacientes ambulatorios; la mayoría de los servicios de salud comunitarios no se vieron afectados. [26] O'Connor también informó de que "no sabemos qué datos se han tomado", pero "sabemos que algunos datos se han visto comprometidos", y que se ha alertado al Comisionado de Protección de Datos sobre la posible violación. [27]
El HSE publicó una lista de servicios afectados en su sitio web a la hora del almuerzo del 14 de mayo de 2021. [28] [29]
El 19 de mayo, el Financial Times revisó "muestras" de datos privados de doce personas que se publicaron en línea, incluidos los registros de admisión y los resultados de laboratorio de un hombre ingresado en un hospital para recibir cuidados paliativos . En respuesta, el Centro Nacional de Seguridad Cibernética afirmó que las bandas criminales "habitualmente divulgan información robada como un medio para presionar a las organizaciones para que paguen un rescate". El equipo ContiLocker afirmó también tener contratos de empleo del personal, datos de nóminas y estados financieros, direcciones y números de teléfono de pacientes. [11]
El 28 de mayo, el HSE confirmó que se habían publicado en línea datos relativos a 520 pacientes, incluida información confidencial. [12] [30] [31] [32]
En diciembre de 2021, la HSE dijo que podría llevar hasta cuatro meses contactar a todos aquellos cuyos datos fueron robados. [33] La Oficina Nacional de Delitos Cibernéticos de la Garda recibió los datos del Departamento de Justicia de los Estados Unidos a través de un tratado de asistencia legal mutua . [33] La Oficina proporcionó los datos a la HSE el 17 de diciembre de 2021. [33] La HSE confirmó que dichos datos fueron tomados de sus computadoras. [33] La HSE también se comunicó con el Comisionado de Protección de Datos sobre los datos. [33] Se espera que los datos sean una mezcla de datos personales, información médica, información corporativa de la HSE, así como información administrativa personal comercial y general. [33]
El HSE trabajó con el Centro Nacional de Seguridad Cibernética , la Garda Síochána , las Fuerzas de Defensa Irlandesas , así como con varios socios a nivel nacional e internacional, incluidos Europol e Interpol . [14] [34]
El Ministro de Estado de Contrataciones Públicas y Administración Electrónica, Ossian Smyth , afirmó que el ataque era internacional, no de espionaje, y que "se trata de un ataque muy significativo, posiblemente el ciberataque más significativo contra el Estado irlandés". [35]
El HSE afirmó que se trataba de una amenaza de día cero y que no había experiencia sobre cómo responder al ataque. [36] El Ministro de Salud , Stephen Donnelly , dijo que el ataque tuvo "un impacto severo" en los servicios de salud y asistencia social. [36] El Director General del HSE, Paul Reid , dijo que el ataque costará "decenas de millones" para solucionarlo. [27]
Varios medios de comunicación, incluido Bleeping Computer , informaron que se había pedido un rescate de 16,5 millones de euros (unos 20 millones de dólares) y que se ofrecía descifrar los datos y no publicar "datos privados". [37] [38] [39] Inicialmente, el Business Post informó que se había pedido un rescate de tres bitcoins o 124.000 euros (unos 150.000 dólares). [40] El Taoiseach Micheál Martin declaró que no se pagaría el rescate y que, en cambio, se abordaría el ataque de "manera metódica". [41] [42]
La HSE contrató a las empresas estadounidenses de ciberseguridad McAfee y FireEye después del ataque para mitigar el daño y monitorear los sitios web oscuros en busca de datos filtrados. [43]
El 16 de mayo, se informó de que el Departamento de Protección Social había sido objeto de "un ataque sostenido y feroz", pero que el grupo delictivo altamente organizado no había logrado vulnerar la seguridad. Posteriormente, el departamento suspendió sus canales de comunicación electrónica con el HSE. [44] [39]
El 20 de mayo, el Ministro de Comunicaciones, Eamon Ryan, dijo que se iba a establecer una línea de ayuda para ayudar a las personas cuya información sanitaria se había publicado como resultado del ataque informático, y que se había pedido a las empresas de redes sociales que no compartieran la información que se había publicado, [45] con una orden judicial obtenida por la HSE para prohibir el intercambio de esta información. [46] [47] El mismo día, se informó de que el grupo de delitos cibernéticos organizados proporcionó una clave de descifrado que podría permitir a la HSE recuperar sus sistemas informáticos y los archivos que los piratas informáticos bloquearon y cifraron. [48] [49] Mientras tanto, la Gardaí advirtió al público que estuviera al tanto de una serie de estafas telefónicas y de mensajes de texto a raíz del ataque cibernético en medio de advertencias de que la prestación de atención en el servicio de salud sería un alto riesgo durante semanas; [50] [51] a partir del 24 de mayo, la Garda Síochána ha descrito cualquier llamada que amenaza con la divulgación de información como "oportunista", afirmando que no tienen acceso a datos privados. [52]
El 27 de mayo, el director ejecutivo de la HSE, Paul Reid , dijo que el coste del ciberataque a sus sistemas informáticos podría superar los 100 millones de euros. [53]
El Cuerpo de CIS de las Fuerzas de Defensa desplegó "piratas informáticos éticos" para luchar contra el ataque de ransomware y envió personal del CIS a hospitales y oficinas de HSE para descifrar los dispositivos afectados en el lugar. Los reservistas del ejército fueron particularmente útiles en esta tarea debido a sus habilidades en ciberseguridad y la experiencia adquirida en el sector privado durante sus trabajos diarios. [54] [55]
El 5 de septiembre, durante una importante operación llevada a cabo por Gardaí contra la banda detrás del ataque de ransomware, la Oficina Nacional de Delitos Cibernéticos de Garda confiscó varios dominios utilizados en el ciberataque y otros ataques de ransomware. [56]
El 10 de diciembre se publicó un informe de PricewaterhouseCoopers que revelaba que los atacantes habían accedido a los sistemas informáticos de la HSE ocho semanas antes de que se iniciara el ataque. [13] El informe decía que el sistema informático heredado de la HSE no era resistente a los ciberataques. [13] Había evolucionado con el tiempo, pero no había sido diseñado para resistir los ataques. [13]
El director ejecutivo de HSE, Paul Reid, dijo que el sistema no había sido diseñado estratégicamente, sino que era el resultado de la fusión de juntas de salud, grupos hospitalarios y organizaciones comunitarias de atención médica. [13] El sistema está muy fragmentado y compartimentado. [13] Por el contrario, el personal de HSE fue descrito como resistente y trabajó rápidamente para garantizar la continuidad de los servicios. [13] Reid también dijo que HSE ha iniciado una serie de acciones para mitigar futuros ataques. [13] Estas incluyen un sistema de monitoreo de 24 horas para los sistemas de TI en HSE y una autenticación multifactor más amplia para los usuarios. [13]
El presidente del HSE, Ciarán Devine, dijo que el servicio de salud todavía siente el impacto del ataque. [13]
La HSE ha aceptado una serie de recomendaciones del informe, incluido el desarrollo de un nuevo e importante plan de inversiones y la transformación de la TI heredada para incluir la seguridad. [13]
Se crearán nuevos roles de Director de Tecnología y Transformación y Director de Seguridad de la Información. [13]
El informe también recomienda planes de gestión de crisis de seguridad para garantizar que las respuestas a futuros ataques se gestionen adecuadamente. [13]
Se incrementará el uso de hackers éticos para probar la seguridad del sistema. [13]
El 13 de mayo, el Centro Nacional de Seguridad Cibernética (NCSC) fue alertado de "actividad sospechosa" en los sistemas del Departamento de Salud , y en la mañana del 14 de mayo se evitó un intento de ejecutar ransomware, y los sistemas de TI del Departamento de Salud se cerraron como medida de precaución. [39] [57] [58] Una investigación preliminar del NCSC mostró el uso de la herramienta de acceso remoto Cobalt Strike, vendida por la empresa de tecnología estadounidense HelpSystems, [59] para infectar sistemas y ejecutar la carga útil del ransomware. [20]
Según RTÉ News , una nota digital del grupo de delitos cibernéticos que se cree es el responsable fue dejada en los sistemas informáticos del Departamento, similar a la descubierta en el HSE. [60]
El 23 de junio de 2021, se confirmó que al menos tres cuartas partes de los servidores de TI del HSE habían sido descifrados y que el 70% de los dispositivos informáticos estaban nuevamente en uso. [61] [62] [63] Para el 15 de julio, esta cifra había aumentado al 82% de los servidores y al 83% de los dispositivos. [64] Para septiembre, se habían restaurado más del 95% de todos los servidores y dispositivos. [65]
El 25 de junio de 2021, el juez del Tribunal Superior Tony O'Connor fue informado de que aproximadamente 27 archivos robados del HSE se colocaron en un servicio de análisis de malware, VirusTotal, a fines de mayo. [66] [67] VirusTotal es propiedad de Chronicle Security Ireland Ltd, su matriz estadounidense Chronicle LLC y, en última instancia, Google. [68] Los archivos robados incluían información confidencial de pacientes y se descargaron 23 veces antes de que se eliminaran el 25 de mayo. [69]
Los acusados –Chronicle Security Ireland y Chronicle LLC– dijeron que querían ayudar a la HSE tanto como fuera posible, pero que por razones de protección de datos no podían entregar material a menos que un tribunal se lo ordenara. Por lo tanto, la HSE solicitó órdenes de Norwich Pharmacal contra los acusados para exigirles que proporcionaran información sobre quienes cargaron o descargaron la información robada. Las órdenes obligarían a los acusados a proporcionar a la HSE las direcciones de correo electrónico, números de teléfono, direcciones IP o direcciones físicas de los usuarios desconocidos. [67]
El director nacional de desempeño operativo e integración del HSE, Joe Ryan, dijo que el HSE se enteró de que el Financial Times había publicado un artículo que hacía referencia a datos robados y mencionaba un enlace a dichos datos. El HSE solicitó la devolución de los datos robados y una explicación sobre la ubicación del enlace, pero el Financial Times indicó que había recibido la información de una fuente confidencial que se negó a revelar. [67]
El 20 de mayo de 2021, la HSE obtuvo una orden judicial que prohibía el procesamiento, la publicación, el intercambio y la venta de datos robados. Cuando el Financial Times recibió una copia de la orden, entregó la información que obtuvo de la fuente a los asesores de seguridad informática de la HSE. El análisis de este material reveló que los datos robados se habían subido a VirusTotal. [67]
Ryan dijo que después de ser contactados, los acusados borraron los datos robados de sus servidores. [67]
El abogado de la HSE dijo al juez que el asunto era urgente, pero que esperaba que se pudiera resolver cuando se presentara nuevamente ante el tribunal. Los abogados del acusado dijeron que era poco probable que se opusieran a cualquier orden consensuada de la HSE para que se divulgara información. El juez, sobre una base ex parte , concedió a los abogados permiso para notificar brevemente a los acusados el procedimiento y reanudó el asunto la semana siguiente. [67]
El 9 de febrero de 2023, se reveló que se habían enviado más de 32.000 cartas de notificación a personas cuyos datos habían sido robados en el ciberataque. Se enviarán más de 100.000 cartas a las personas afectadas por el ataque antes de abril de 2023. El Comité de Cuentas Públicas de la Dáil Éireann examinó el impacto financiero y se enteró de que la respuesta inmediata le costó al Departamento de Salud un millón de euros y al HSE 53 millones de euros. [70]
Un equipo de investigación dirigido por el profesor Seamus O'Reilly del Hospital Universitario de Cork descubrió que en diez unidades de ensayos oncológicos (tres privadas y siete públicas), solo dos unidades privadas tenían un plan de preparación antes del ataque. [71] Tres de los sitios restantes han implementado un plan o lo están haciendo, mientras que ninguno tiene un plan. [71]
El informe también encontró que las derivaciones de pacientes a ensayos clínicos sobre cáncer cayeron un 85 por ciento y el reclutamiento para ensayos cayó un 55 por ciento. [71]
En toda Irlanda, 513 pacientes tuvieron que interrumpir su radioterapia. [71]
El ataque se produjo al final de la tercera ola de COVID-19 y “puso a prueba severamente la resiliencia del personal ya agotado”. [71]
El profesor O'Reilly dijo: "La COVID-19 como oncólogo me hizo hacer cosas profesionalmente que no quiero volver a hacer. Pero el ciberataque fue peor que la COVID" en el seminario principal del Policy Forum for Ireland 'Next steps for cancer services in Ireland'. [71] También dijo: "Fue un momento muy difícil. Los resultados estaban congelados en la computadora. Nuestras formas de comunicarnos con la gente estaban comprometidas y no teníamos acceso a información antigua. Teníamos pacientes a los que se les hicieron exploraciones y las exploraciones quedaron atrapadas en la máquina. Fue un gran desafío para los pacientes porque aparecían en las clínicas y no había registros de su llegada o de su necesidad de estar allí. Habríamos tenido que enviar a los pacientes a casa con su médico de cabecera para obtener los detalles de su historial médico, imprimirlos en el consultorio de su médico de cabecera y traérnoslos para que pudiéramos atenderlos en el hospital". [71]
Dijo que la HSE había mejorado la ciberseguridad, pero advirtió contra la complacencia. [71] Dijo: "Creo que los ciberataques se están volviendo más comunes y más sofisticados, por lo que todavía somos vulnerables a ellos, probablemente somos más vulnerables ahora que en mayo de 2021. Un ciberataque ahora tarda menos de 24 horas en activarse. El que tuvimos en mayo de 2021; se incrustó durante dos meses. Creo que siempre seremos vulnerables a un ciberataque. Los sistemas se han vuelto más sofisticados para sortear cualquier cosa que hagamos". [71]
En mayo de 2024, se informó de que se habían iniciado 473 acciones legales contra el HSE en relación con el ataque. [72] La Agencia Estatal de Reclamaciones está gestionando 12 casos de lesiones personales contra el HSE en relación con el ataque, en los que se estaban notificando procedimientos legales en 11 casos. [72] Los casos de lesiones personales están relacionados con el impacto psicológico del ataque. [72] Hay varios casos ante el Tribunal de Justicia de la Unión Europea relacionados con el ataque. [72]