El sector sanitario se ha convertido en uno de los principales objetivos de los ciberdelincuentes, especialmente a partir de la pandemia. Sin embargo, en las últimas semanas, los ataques sufridos por distintos centros hospitalarios constatan que los delincuentes están redoblando sus amenazas contra este sector.
El Hospital Clínic de Barcelona, el Hospital Saint-Pierre de Bruselas y, ahora, el Ministerio de Salud de la India. El grupo Phoenix afirma tener acceso a todos los hospitales de la India e información sobre los empleados del hospital y los médicos después de acceder al sistema de información de gestión de la salud de la India, que podría contener datos de millones de ciudadanos.
Según ha publicado la compañía de ciberseguridad CloudSek, el 15 de marzo de 2023, un grupo de ciberdelincuentes afirmaba haber atacado un sitio web del gobierno indio. Tras analizar los datos compartidos, concluyó que la entidad afectada era el sistema de información de gestión de la salud perteneciente al Ministerio de Salud de la India.
Este sistema de información de gestión sanitaria es un portal online que proporciona información sobre indicadores de salud en la India. Para ello recopila datos de las autoridades de salud a nivel estatal y de distrito, junto con otros datos como los de la Encuesta Nacional de Salud Familiar (NFHS).
Después de que el grupo de origen ruso, Phoenix, se haya atribuido el ataque a través de su canal de Telegram, se ha comprobado que la página web del Ministerio de Salud no está accesible.
Amenazas más allá del sector sanitario
«India decidió imponer sanciones contra la Federación Rusa. Como todos sabemos, ir al ataque sin cuidar la defensa es un movimiento bastante estúpido y arriesgado. Especialmente cuando tu enemigo es un estado tan poderoso como la Federación Rusa», rezaba el mensaje publicado en Telegram.
Con esta respuesta justifican que el ataque es consecuencia del acuerdo al que ha llegado India sobre el tope del precio del petróleo y las sanciones del G20 por la guerra en Ucrania. Además, el país albergará una reunión del G20 en septiembre en Nueva Delhi.
Asimismo, el mensaje enviado por estos delincuentes también apunta que no aprueban las acciones del gobierno indio y «arrojó su pluma de pájaro de fuego al lugar más doloroso y desprotegido del enemigo: su medicina. De esta manera, obtuvimos acceso fácilmente al Ministerio de Salud de la India».
Un mensaje en el que también indican tener acceso a todos los hospitales, su personal y los responsables médicos, y destacan que pueden detener sus actividades en cualquier momento. No obstante, han publicado varias muestras del sitio web en su canal de Telegram.
Además, el grupo también ha realizado en su canal varias encuestas preguntando si deberían tomar más represalias por las decisiones tomadas por el gobierno indio. Esto hace pensar a los expertos que podrían llevarse a cabo más ciberataques por parte de grupos similares teniendo como pretexto las posturas geopolíticas de la India.
Vender licencias, documentos e información de identificación personal robada en foros de ciberdelincuencia, o información para llevar a cabo fraudes podrían ser algunas de las próximas acciones que veamos.
Phoenix, una rama de Killnet
Phoenix es un grupo hacktivista prorruso. Unió fuerzas con Killnet, uno de los grupos hacktivistas prorrusos más populares y activos, en septiembre pasado y los apoyó en los ataques contra Japón. Estos grupos han estado apuntando a varios países que apoyan a Ucrania en la guerra.
Phoenix se ha centrado en hospitales con sede en Japón y el Reino Unido. También tiene entre sus objetivos a una organización de atención médica con sede en Estados Unidos que presta servicios al ejército de norteamericano. Asimismo, también está en sus miras otras entidades gubernamentales de otros países, como el caso de Pakistán.
Estos ciberdelincuentes intensificaron sus ataques en 2021 durante el período previo a la invasión de Ucrania, según un informe del grupo de análisis de amenazas de Google. En 2022, Rusia aumentó su objetivo a usuarios en Ucrania en un 250% en comparación con 2020, y a usuarios en países de la OTAN en más de un 300%.
Como medida de precaución, CloudSek aconseja a las agencias gubernamentales que controlen las anomalías en las cuentas de los usuarios, lo que podría indicar posibles apropiaciones de cuentas, el uso de balanceadores de carga y servicios de protección DDoS, y el bloqueo de direcciones IP y geolocalizaciones innecesarias.
