Cibercriminals publiquen les dades de pacients i empleats de l’Hospital Clínic de Barcelona

El grup RansomHouse ha publicat part de les dades segrestades durant l’atac informàtic que des del 5 de març ha paralitzat l’Hospital Clínic de Barcelona. Entre les dades afectades hi ha informació personal «extremament sensible» dels pacients, treballadors, col·laboradors i proveïdors del centre, com els historials clínics, els correus electrònics i els seus salaris.

A través del seu canal de Telegram, aquesta organització de cibercriminals ha filtrat en la ‘dark web’ –una internet fosca que no està indexada en els cercadors majoritaris– «entre tres i quatre gigues» dels 4,4 terabytes de dades que ha segrestat mitjançant la tècnica de ciberatac coneguda com a programari de segrest, segons ha confirmat en roda de premsa el doctor Antoni Castells, director mèdic de l’Hospital Clínic. Això suposaria tan sols l’1‰ de la informació bloquejada.

Aquesta és la primera vegada que el grup reconeix públicament estar darrere de l’agressió al Clínic, però fa tres setmanes ja va exigir a la Generalitat el pagament de 4,5 milions de dòlars (4,2 milions d’euros) per alliberar aquesta informació. «Com no donem resposta a l’extorsió, els pirates informàtics filtren dades de forma planificada», ha assenyalat Tomàs Roy, director de l’Agència de Ciberseguretat de Catalunya.

Així, les autoritats entenen la filtració com una «prova de vida» i preveuen que aquest ‘modus operandi’ d’«anar estrenyent» es mantingui i que «en unes dues setmanes» tornin a publicar noves dades que han sigut segrestades, però no robades. Roy ha afegit que les dades afectades es consideren «desestructurades», cosa que «dificulta identificar de quines dades es tracta». El diari ‘ARA’ ha apuntat que Ransom House hauria posat en venda part de les dades robades a un preu d’uns 5.000 dòlars, una informació a les quals les autoritats no han donat resposta.

Mesures de seguretat

Les autoritats han reiterat que l’atac no va afectar el SAP, el sistema informàtic de gestió empresarial en el qual es gestionen dades com la informació financera de l’hospital, nòmines dels treballadors, investigació o llistes d’urgències. «El centre ja està funcionant amb tota normalitat», ha assegurat Castells. En les últimes tres setmanes, el Clínic ha aconseguit restaurar els 800 servidors encriptats, canviar les 8.000 contrasenyes del centre i introduir la doble autentificació per reforçar la ciberseguretat del centre.

Fonts de l’Autoritat Catalana de Protecció de Dades (APDCAT) han confirmat a EL PERIÓDICO que el centre ja els ha informat de la publicació de les dades robades de pacients i empleats, seguint així l’obligació legal que dicta l’article 34 del Reglament General de Protecció de Dades (RGPD).

Confidencialitat compromesa

El 20 de març passat, el Clínic va reconèixer per primera vegada que en l’atac «es podria haver compromès la confidencialitat de les dades de pacients i treballadors», una informació ara contrastada.

Fonts de la investigació van assenyalar el 8 de març passat a EL PERIÓDICO que entre les dades robades podrien figurar dades d’assajos sobre càncer i malalties autoimmunes, àmbits en els quals el centre és punter. Les autoritats han negat aquesta possibilitat. «Les dades dels pacients que participen en els assajos no s’allotgen als servidors del centre, amb la qual cosa no s’han vist compromesos», ha apuntat Castells.

Notícies relacionades

L’Hospital Clínic reconeix per primera vegada que el ciberatac podria «comprometre la confidencialitat de pacients i treballadors»

El Clínic recupera les urgències d’infarts i ictus que derivava a altres hospitals pel ciberatac

Les autoritats han alertat que aquesta fuga de dades podria portar nous ciberatacs contra les víctimes de la filtració i han cridat a desconfiar dels missatges que puguin rebre tant a través del correu electrònic com dels seus telèfons mòbils.

Ramon Chacón, cap de la Comissaria General d’Investigació Criminal dels Mossos d’Esquadra, ha explicat que el cos policial català està treballant en el bloqueig i l’eliminació de les dades filtrades en la ‘dark web’. «Es tracta d’un delicte i qualsevol persona que utilitzi aquestes dades estarà cometent una il·legalitat», ha assegurat.