Una organización sanitaria con tres hospitales y tres clínicas en Estambul sufrió un ciberataque que puso en peligro los datos personales de unos 500.000 pacientes.

Se calcula que el número de registros afectados por el ataque, en el que se vieron comprometidas todas las carpetas pertenecientes a la institución sanitaria en cuestión, alcanzó los 2,5 millones.

Filtración de datos:

Desafío

Tras la violación de datos como resultado del ciberataque en «Yonca Sağlık Hizmetleri Ltd., Şti. Şti.», una de las empresas que constituyen el grupo sanitario, se realizó una notificación de la violación a la Junta de Protección de Datos Personales con el fin de cumplir nuestras obligaciones derivadas de la Ley nº 6698. En el ámbito de la violación de datos, se prevé que pueden haberse visto afectados los datos personales de las categorías de información financiera y sanitaria, que son datos personales y categorías especiales de datos personales que tratamos como responsables del tratamiento.

Aunque la filtración se evitó en gran medida gracias a las intervenciones realizadas, no fue posible determinar con claridad el número de personas afectadas por la violación debido al ciberataque.

Solución

La empresa ha tomado todas las medidas de seguridad necesarias para evitar que aumente la fuga de datos y los daños causados por el ataque. El incidente de la violación de datos se detectó el 16.03.2022 y se entiende que la violación se produjo el 15.03.2022 y fue un ciberataque atípico.

En cuanto se detectó la violación de datos, se cortó el acceso a Internet de los servidores objeto de la violación y se detuvo la transferencia de archivos en curso. Inmediatamente después, se contactó con expertos en el campo de la ciberseguridad y se inició el Proceso de Respuesta a Incidentes. Aunque el ataque en cuestión no era un ataque típico utilizado por los ciberatacantes, los procedimientos de intervención llevados a cabo por nosotros concluyeron con éxito.

Buena práctica 1 – Incidente de ciberseguridad @ Universidad de las Artes de Londres (UAL)

Descripción del incidente de ciberseguridad

La UAL es una universidad con sede en Londres. Esta universidad de arte, diseño y creatividad se fundó en 1886. Cuenta con 26.000 estudiantes y 2.500 profesores. La universidad tiene una reputación internacional por sus programas académicos y de investigación. En 2018, un importante ciberataque expuso los datos personales de miles de estudiantes y profesores. Tras el incidente se adoptaron nuevas medidas de seguridad y se evaluaron los procesos de respuesta a incidentes de la universidad.

¿Cómo se trató el problema?

La UAL fue hackeada en 2018. El ataque, «sofisticado y selectivo», reveló nombres, direcciones, números de teléfono e información financiera de 19.500 estudiantes y miembros del personal. El ataque también interrumpió los sistemas de la universidad, retrasando a los estudiantes y al personal. Según la institución, el ataque fue perpetrado por piratas informáticos profesionales. Los piratas informáticos vulneraron la seguridad informática superior de la universidad y causaron una considerable pérdida de datos. La institución dijo que los piratas informáticos utilizaron un sofisticado asalto de phishing para entrar en sus ordenadores, pero no se dieron a conocer los detalles. Los piratas enviaron correos electrónicos al personal de la universidad solicitando sus credenciales de acceso. Una vez dentro, los atacantes instalaron programas maliciosos para robar datos de estudiantes y profesores. El ataque ralentizó el funcionamiento de la universidad, causando problemas a estudiantes y personal. Los datos personales expusieron a estudiantes y personal a la usurpación de identidad y otros problemas de seguridad. Las universidades y los funcionarios de justicia fueron identificando a los atacantes. A pesar de las rápidas indagaciones, los atacantes seguían sin ser identificados.

¿Cómo se abordó?

El hackeo desató la preocupación por la ciberseguridad universitaria y la protección de datos de estudiantes y personal. Tras el suceso, estudiantes y empleados deberían ser más conscientes de las amenazas a la seguridad de la información. El incidente también llevó a la universidad a examinar sus procedimientos de respuesta a incidentes y a desarrollar medidas adicionales para prevenir ataques similares.

UAL puso en marcha su estrategia de respuesta a incidentes inmediatamente después del ciberataque. El cierre de los sistemas afectados detuvo el ataque y evitó daños adicionales. A continuación, la universidad investigó el alcance del ataque y la exposición de los datos. También se informó a las partes afectadas de la violación de los datos y se les asesoró sobre cómo evitar repercusiones. La universidad ayudó a la policía a identificar y procesar a los agresores. Los atacantes permanecieron sin identificar.

Soluciones aplicadas

Tras el incidente, la UAL tomó medidas para evitar futuras intrusiones y preservar los datos de estudiantes y personal. Entre estos métodos se encontraban restricciones de contraseñas, software de seguridad y formación para evitar el phishing. Para detectar y responder con prontitud a futuros asaltos, se creó un sistema de vigilancia de amenazas a la seguridad. La universidad formó a estudiantes y empleados sobre phishing y protección de datos. La universidad también colaboró con las fuerzas de seguridad y adquirió nueva tecnología de seguridad.

El ciberataque a UAL puso de manifiesto la importancia de una ciberseguridad sólida y de un plan verificado de respuesta a incidentes. Las organizaciones pueden defenderse a sí mismas y a sus comunidades de los ciberataques instalando defensas eficaces y respondiendo con prontitud. El incidente también puso de relieve la necesidad de la ciberseguridad y la protección de datos. Los usuarios deben comprender los riesgos de revelar información sensible y la necesidad de contraseñas seguras y de seguridad de los dispositivos. La educación de los usuarios y la ciberseguridad deben ser proactivas para las organizaciones. El ciberataque de UAL demostró que ninguna organización está a salvo de los ciberataques. Las organizaciones deben proteger sus datos y operaciones de estos riesgos. Unas defensas sólidas, una respuesta oportuna a los incidentes y la concienciación sobre ciberseguridad pueden salvaguardar a las empresas y comunidades de las ciberamenazas.

Buena práctica 2 – Incidente de ciberseguridad @Universidad de Maastricht (UM), Países Bajos

Descripción del incidente de ciberseguridad

Un gran ataque de ransomware tuvo como objetivo la Universidad de Maastricht (UM) el 23 de diciembre de 2019. El ransomware atacó de inmediato. Los hackers bloquearon 267 servidores de la universidad, incluidos algunos vitales, en 30 minutos. Los servidores de correo electrónico y archivos con datos de investigación y operaciones comerciales se vieron comprometidos. Los hackers cifraron múltiples servidores de copia de seguridad. Los atacantes enviaron a los empleados de la UM correos electrónicos de phishing el 15 de octubre. Un empleado hizo clic en el enlace de la carta. Esto abrió un archivo Excel que contenía una macro. La macro instaló malware desde un servidor remoto en la estación de trabajo del usuario. Los escáneres de virus de la universidad reconocieron la infección, pero como los autores hicieron ligeros retoques, pasó. Otro usuario hizo clic en un segundo correo electrónico de phishing con un documento similar un día después. A partir de entonces, los atacantes tuvieron acceso a la red de la UM.

¿Cómo se trató el problema?

Fox-IT descubrió que después de abrir un correo electrónico de phishing, la detección, el monitoreo y el seguimiento insuficientes permitieron a los hackers runsomware parte de la red de la UM el 23 de diciembre de 2019. El Consejo Ejecutivo, el Equipo de Gestión de Crisis, el Consejo de Supervisión, los órganos de representación y otros departamentos universitarios se coordinaron para hacer frente al ciberataque. El Equipo de Gestión de Crisis (CMT) priorizó los esfuerzos para minimizar la interrupción económica porque la universidad prioriza la educación y la investigación. La comunicación con el personal y los estudiantes fue crucial. El Consejo Ejecutivo y el Consejo de Supervisión también compartieron toda la información posible con otras instituciones de enseñanza superior.

Durante la crisis cibernética, contratistas externos supervisaron los sistemas informáticos 24 horas al día, 7 días a la semana, para reforzar la ciberseguridad (lo que se denominó «aumento de la supervisión del dique»). Un estudio de la infraestructura informática central y descentralizada reveló la necesidad de reforzar las medidas preventivas. La UM necesita más financiación gubernamental, intercambio de conocimientos sobre ciberamenazas y cooperación educativa. El personal de la UM recomienda debatir sobre ciberseguridad y tomar medidas adicionales. Debe considerarse la inversión en educación e investigación frente a la ciberresiliencia. El apoyo a la seguridad de la información en la UM se dará a conocer en breve.

¿Cómo se abordó?

En la noche del 23 de diciembre de 2019, se reveló un incidente masivo de ciberseguridad. UM-CERT llamó por teléfono al director central de ICTS. Los administradores del UM-CERT con sede en casa no pudieron iniciar sesión. Algunos visitaron Maastricht. Se notificó al Vicepresidente del Consejo Ejecutivo. Se aisló la red de la UM apagando los sistemas y cerrando la universidad. El último ejercicio nacional SURF, OZON, sirvió de modelo para la ampliación a nivel de consejo. Los miembros de UM-CERT pueden ponerse en contacto con SURFcert y Fox-IT. Durante la noche del 23 al 24 de diciembre, se contactó con ambas organizaciones en busca de ayuda. La situación fue más que un problema de ciberseguridad durante la noche. El manejo de la crisis siguió la práctica de UM. El 24 de diciembre de 2019, se reunió el Equipo de Gestión de Crisis (CMT). Las prioridades del CMT cambiaron durante la crisis cibernética. Después de identificar y salvaguardar los sistemas, la enseñanza y la investigación tuvieron prioridad, lo que podría haber causado la pérdida de datos forenses. Después de recibir la clave de los piratas informáticos, UM y Fox-IT recuperaron toda la infraestructura de TI y aseguraron los datos forenses para analizar las causas raíz (circunstancias, causa y alcance) y el acceso a los datos de los piratas informáticos (incluida la visualización, el robo o el procesamiento de otro tipo).

El CMT utilizó el sitio web de la UM para comunicarse, ya que no estaba infectado. Las actualizaciones diarias se centraban en la organización interna, el personal y los estudiantes. Otras partes podían acceder a esta información.

Soluciones aplicadas

El Comité Ejecutivo tenía tres alternativas para resolver la crisis: Desarrollar un desencriptador para eliminar el cifrado; Reconstruir la infraestructura informática y restaurar las copias de seguridad a los niveles anteriores al ataque; o Pagar el rescate. Fox-IT consideró inviable la primera opción. Lograron interrumpir las clases y la investigación durante más de tres meses. La segunda alternativa, reconstruir la infraestructura informática, tardó entre dos y tres meses. Los programas de grado y la investigación perderían una sesión académica completa. Con esta opción, la recuperación de datos era incierta. Las copias de seguridad en Internet de la UM dificultaban esta elección. La UM realizaba sobre todo copias de seguridad en línea para que el personal y los estudiantes pudieran acceder rápidamente a los datos de enseñanza e investigación tras una interrupción. El malware puede contaminar las copias de seguridad en línea, dejándolas inutilizables. El gobierno central desaconseja los negocios con organizaciones criminales. La UM lo apoya. En realidad, una línea general es complicada.

El Consejo Ejecutivo consideró que el interés de la universidad -volver a «funcionar» para cumplir sus obligaciones con los estudiantes y el personal- primaba sobre el interés público. La universidad pagó un rescate por la clave de descifrado para mantener las operaciones. Sin financiación, la restauración y reconstrucción habrían tardado meses, poniendo en peligro la docencia y la investigación. La infraestructura informática y los datos podrían no restablecerse por completo sin la clave de descifrado. Se consideraron muchos escenarios.

El Consejo de Supervisión también solicitó una estimación de costes para que la universidad reparara su infraestructura informática. Costó varias veces más que pagar el rescate. El Consejo Ejecutivo y el Consejo de Supervisión intentaron ser transparentes para que otras universidades pudieran aprender del ciberataque de la Universidad de Maastricht. La institución pagó el rescate tras una cuidadosa investigación. La universidad pagó el rescate por la clave de descifrado. La UM tenía previsto abrir un Centro de Operaciones de Seguridad (SOC) en enero de 2020, pero aún no se había decidido la herramienta de supervisión. Carbon Black fue la elegida tras el ciberataque. Fox-IT utilizó el programa en los sistemas secuestrados para realizar análisis forenses. Posteriormente se desplegó en el resto de servidores Windows y estaciones de trabajo Windows, tanto físicas como virtuales. Antes de que los servidores Windows volvieran a conectarse en red, se instaló la utilidad. Utilizando Fox-IT, UM comenzó la monitorización 24/7 el 2 de enero de 2020.