El sector sanitario sufre los fallos de la tecnología

La sanidad fue la víctima más común de las brechas generadas por terceros, representando casi el 35% de los incidentes en 2022, seguida por las finanzas (14%) y el gobierno (14%). Según el estudio anual de Black Kite sobre infracciones de terceros, el año pasado los piratas informáticos explotaron la naturaleza destructiva de las vulnerabilidades de los miembros de los ecosistemas empresariales mundiales. Aunque el número de infracciones ha disminuido ligeramente, la magnitud ha aumentado mucho. Y para 2023, “los ciberdelincuentes pretenden sin duda matar más pájaros de un tiro”, dice la investigación. Debido a la pandemia de Covid-19, el movimiento de datos entre instituciones sanitarias ha aumentado considerablemente en los últimos años, llamando la atención de los ciberdelincuentes.

Las estrictas sanciones impuestas en todo el mundo por las violaciones de la información sanitaria de los pacientes también han llamado aún más la atención de los piratas informáticos. Junto a esto, la insuficiencia de presupuestos, los datos personales compartidos a distancia entre pacientes y sistemas de telesalud y el software obsoleto han abierto más vías para la intrusión en la red y el acceso a datos críticos y han convertido al sector sanitario en el objetivo preferido de los ciberataques en 2022.

No es sorprendente que los proveedores de soluciones tecnológicas sean los “terceros” que ofrecen el mayor riesgo de filtraciones. Los piratas informáticos pueden encontrar vulnerabilidades en el software o editar el código para facilitar los ataques en cadena. Además, las empresas usuarias confían en que las soluciones que utilizan son seguras y no comprueban la presencia de ninguna vulnerabilidad, perpetuando las amenazas a lo ancho de las cadenas digitales.

“Los ecosistemas empresariales mundiales son cada vez más complejos, lo que contribuye a que las organizaciones se vean cada vez más afectadas por la postura en materia de ciberseguridad de los socios, los socios de los socios, etcétera. La realidad es que las superficies de ataque son mucho mayores de lo que podemos controlar. La buena noticia es que podemos evaluar y vigilar el ecosistema ampliado para identificar vulnerabilidades, actuar con rapidez y evitar catástrofes”, afirma Jeffrey Wheatman, evangelista del riesgo cibernético en Black Kite, la empresa que realizó el estudio anual sobre infracciones de terceros.

En general, en todos los sectores encuestados, el número de infracciones generadas por terceros disminuyó en comparación con 2021, pero el efecto individual de cada infracción casi se duplicó. Mientras que el número medio de empresas afectadas por una sola brecha fue de 2,46 en 2021 (sin contar al propio vendedor), esa cifra aumentó a 4,73 en 2022 (cifras que representan a las empresas que se anunciaron públicamente; también hay cifras masivas para las que no se revelaron los nombres de las empresas, lo que significa que el total es mucho mayor).

Una posible conclusión es que los hackers están realizando ataques más inteligentes, dirigidos a un mayor número de víctimas por ataque. Por lo tanto, debido al mayor impacto de cada brecha generada por un tercero, es importante conocer la postura cibernética de los proveedores para evitar riesgos en cascada, destaca el estudio. El riesgo en cascada es el efecto dominó que se produce cuando un proveedor de la cadena de suministro digital se expone a riesgos y compromete a los demás socios conectados por el ecosistema.

El estudio de Black Kite también identificó las principales causas de las infracciones de terceros en 2022. Siempre es importante conocer el vector inicial de la brecha para comprender cómo actúan los ataques. El acceso no autorizado a las redes fue el vector más común en 2022, representando el 40% de las infracciones de terceros a lo largo del año, un 25% más que en 2021. Según el estudio, este tipo de acceso suele basarse en ataques de ingeniería social, principalmente phishing, pero también a través del robo de credenciales, vulnerabilidades en el control de acceso o una combinación de estos factores. El ransomware fue la segunda causa más frecuente, representando el 27% de las brechas de terceros, pero con una caída en comparación con 2021. Los servidores y bases de datos no protegidos ocuparon el tercer lugar, con un 10% de las infracciones.

Suele pasar mucho tiempo hasta que se denuncia una infracción. El plazo medio para denunciar los ataques fue de 108 días en 2022, un 50% más que en 2021. Estos datos se basan en incidentes de terceros rastreados con transparencia sobre quién, qué y cuándo se produjeron los ataques. Black Kite empezó a supervisar esta estadística en 2021, y la conclusión inmediata es que está empeorando.