Fuente de la imagen, BBC News
Las llamadas de los hospitales se sucedían una tras otra; unos delincuentes estaban infectando las redes informáticas en un ataque masivo que ponía en peligro innumerables vidas.
En el Centro Nacional de Ciberseguridad (DNSC) de Bucarest observaban impotentes cómo los hackers se extendían por toda Rumania a través de un popular programa informático médico.
El responsable de ciberseguridad, Dan Cimpean, tenía que tomar una decisión difícil, pero era la única opción que tenían.
Se dio la orden a más de 100 hospitales: desconectarse de Internet, inmediatamente.
El ciberataque contra los hospitales de Rumania en febrero de 2024 es uno de los peores que han sufrido los sistemas sanitarios de todo el mundo, pero este tipo de incidentes son cada vez más habituales.
Según ha declarado recientemente el FBI, la sanidad es actualmente el sector más atacado de las infraestructuras nacionales críticas.
La desconexión de Internet de 100 hospitales rumanos frenó en seco a los piratas informáticos, lo que permitió ganar tiempo para evaluar la gravedad del ataque.
Pero eso supuso quedarse sin dispositivos conectados, correo electrónico ni navegadores web.
El personal médico tuvo que recurrir al papel y al lápiz, improvisando soluciones para proteger a los pacientes mientras los equipos informáticos se apresuraban a actuar y el centro nacional de respuesta cibernética intentaba averiguar cómo habían entrado los hackers y cómo podían detenerlos.
Fuente de la imagen, BBC News
Las acciones de médicos, enfermeros y administrativos durante ese 10 de febrero y los otros tres días en los que se extendió la crisis han sido ampliamente elogiadas.
Su reacción y su forma de afrontar la situación se han convertido en un caso de referencia para los responsables de la planificación ante catástrofes a nivel internacional, ya que las autoridades buscan asesoramiento sobre cómo responder ante un ataque informático masivo a un hospital.
Pago en bitcoins
La cirujana Oana Goidescu estaba de turno en el hospital de Buzău, a 120km al noreste de Bucarest, cuando llegó la alerta de que unos atacantes habían accedido a la empresa de software RSC, con sede en Bucarest, y se habían metido en un sistema médico muy utilizado llamado Hipócrates.
"Fue una experiencia bastante desagradable, porque un expediente informático no es solo una lista de pacientes", afirma. "Para cada paciente, solicitamos pruebas de laboratorio, radiología, medicamentos y suministros. Todo eso había desaparecido".
Hippocrates es utilizado por médicos, enfermeros y cirujanos para gestionar todo, desde los ingresos hasta las nóminas, pasando por la logística farmacéutica y los resultados de las pruebas.
De forma sigilosa, los ciberdelincuentes habían comenzado a infectar hospitales de todo el país que utilizaban el sistema con una variante de ransomware llamada BackMyData. Los archivos se veían alterados hasta convertirse en un galimatías y se exigía un rescate en bitcoins.
El personal del hospital infantil de Pitești, al noroeste de Bucarest, fue el primero en detectar los errores el domingo por la mañana, al día siguiente de que comenzara el ataque.
Al amanecer del lunes, muchos otros hospitales habían informado de que el sistema Hippocrates estaba fuera de servicio.
Con los hospitales desconectados, los expertos en ciberseguridad colaboraron estrechamente con el fabricante de Hippocrates para determinar cuántos sistemas se habían infectado y expulsar a los hackers.
Los médicos de los hospitales respondieron creando soluciones provisionales para proteger a los pacientes hasta que todo volviera a funcionar con normalidad.
"Cuando vimos que el sistema no se repararía rápidamente, desarrollamos un método offline para poder registrar a todos los pacientes", explica Vlad Paic, del hospital Carol Davila de Bucarest.
"Pedimos al laboratorio que nos diera los resultados en papel. Usamos Excel y otras herramientas offline para asegurarnos de que la atención no se viera afectada".
Fuente de la imagen, BBC News
Según algunos médicos, el cambio relativamente reciente de Rumania a los sistemas digitales contribuyó a la adopción de procesos más analógicos.
Los investigadores trabajaron toda la noche y descubrieron que 26 hospitales habían sido infectados con BackMyData.
Al día siguiente, los hospitales no infectados volvieron a estar en funcionamiento con protecciones adicionales.
Copias de seguridad
La DNSC afirma que parte del éxito de la operación se debió a la forma en que utilizaron los medios de comunicación para comunicarse con los hospitales y el público.
Los mensajes públicos instaban a los pacientes a evitar los hospitales a menos que fuera necesario.
Pero las salas de espera seguían llenándose y Goidescu asegura que algunos pacientes frustrados descargaron su enojo con el personal.
"Nos preguntaron: '¿Y si fuera tu madre?' Tenían razón al enfadarse, pero tratamos de explicarles que no teníamos la culpa", señala.
Otro mensaje clave fue que los hospitales no deberían ponerse en contacto con los piratas informáticos ni pagar el rescate.
Los atacantes habían exigido 160.000 euros (US$183.000) en bitcoins, pero se tomó la decisión nacional de no pagar.
Fuente de la imagen, BBC News
En los hospitales que aún no estaban conectados, los equipos informáticos se apresuraron a restaurar los sistemas a partir de copias de seguridad.
La mayoría tenía copias relativamente recientes de sus datos, lo que constituye una lección clave. Las copias de seguridad periódicas permiten a las organizaciones recuperarse más rápidamente.
En cinco días, la mayoría de los hospitales volvieron a estar conectados y funcionaban casi con normalidad, sin que se registraran fallecimientos ni daños graves a los pacientes.
Se tardaría semanas más en introducir toda la nueva información registrada en papel durante la interrupción del servicio. Algunos datos se perdieron para siempre.
La policía no ha hecho comentarios sobre su investigación para determinar quién estuvo detrás del ataque.
Sin embargo, el año pasado, una banda de ransomware vinculada a BackMyData vio cómo su página web era desactivada en una operación internacional.
Cuatro rusos fueron detenidos fuera de Rusia, cuyas autoridades no cooperan con las fuerzas del orden occidentales.
Cimpean afirma que el ataque podría haber ocurrido en cualquier lugar.
"Cuanta más tecnología se tiene, cuanto más digitalizado se está, mayor será el riesgo", asegura.
A mayor desesperación, mayor posibilidad de rescate
El año pasado, el Servicio Nacional de Salud (NHS) de Reino Unido confirmó que un ataque informático a una empresa de análisis de sangre, que afectó a una docena de centros médicos de Londres, contribuyó a la muerte de un paciente.
Fue el primer caso de muerte vinculado oficialmente a un ciberataque.
Por esas mismas fechas, Change Healthcare, en Estados Unidos, sufrió un ataque informático que provocó graves trastornos. La empresa pagó a los piratas informáticos un rescate de US$22 millones.
Los piratas informáticos también provocaron el caos a finales de año con un ataque contra otro proveedor de atención médica estadounidense llamado Ascension.
Alina Bîzgă, de la empresa de ciberseguridad Bitdefender, con sede en Bucarest, afirma que los ataques a los hospitales resultan atractivos para los delincuentes que intentan provocar el caos a cambio de dinero.
"Los hospitales gestionan servicios críticos, y los delincuentes piensan que cuanto mayor sea la perturbación que puedan causar, más probabilidades hay de que se les pague un rescate", afirma.
El 23 de junio, BBC World Service lanzó una plataforma en rumano, BBC News România, para ofrecer periodismo de confianza a las audiencias de Rumania, Moldavia y el resto de Europa. BBC News România estará disponible en su página web, en Facebook y en Instagram.
Este artículo fue escrito originalmente en inglés y usamos una herramienta de inteligencia artificial para traducirlo. Un periodista de la BBC revisó el texto antes de su publicación. Más información sobre cómo usamos IA.
Suscríbete aquí a nuestro nuevo newsletter para recibir cada viernes una selección de nuestro mejor contenido de la semana.
Y recuerda que puedes recibir notificaciones en nuestra app. Descarga la última versión y actívalas.