Analizamos un incidente real y público no como una reedición de noticias, sino a partir de la pregunta «¿cómo nos defenderíamos de esto?». Es un artículo explicativo basado en registros públicos (el informe oficial del comité de expertos y la cobertura periodística). Las fuentes se enumeran al final; no incluimos instrucciones de ataque ni datos personales identificables. Los nombres de proveedores y contratistas no son lo relevante, así que los describimos por su función y no por su nombre.
- Objetivo
- Hospital Tsurugi Handa (prefectura de Tokushima). Sistemas hospitalarios, incluido el EMR
- Detección
- Madrugada del 31 de octubre de 2021 (notas de rescate impresas desde impresoras; EMR y sistemas de facturación caídos)
- Entrada (según el informe)
- Un dispositivo VPN expuesto a internet, sin parchear frente a la CVE-2018-13379, con credenciales filtradas que nunca se revocaron
- Por qué se propagó / por qué falló la recuperación (según el informe)
- Contraseñas cortas, ausencia de bloqueo de cuentas, usuarios con derechos de administrador → movimiento lateral fácil. Principal y copia en la misma red, ambos cifrados. La creencia de que «una red cerrada es segura»
- Impacto
- EMR fuera de servicio con grave perturbación de la atención; ~85.000 registros de pacientes inaccesibles. La atención normal se reanudó tras unos dos meses
- Medidas principales
- Vigilar y parchear rápidamente las CVE conocidas en dispositivos expuestos a internet / revocar credenciales filtradas o reutilizadas, MFA, mínimo privilegio, bloqueo / 3-2-1 + copias sin conexión e inmutables / segmentación / BCP médico
Qué ocurrió (en términos sencillos)
El ransomware cifra los sistemas para dejarlos inutilizables y exige un pago para restablecerlos. La vía de entrada no fue un zero-day sofisticado. En un dispositivo VPN que el hospital tenía expuesto a internet existía una vulnerabilidad pública desde 2019 (CVE-2018-13379), todavía sin parchear. Peor aún, esa falla había permitido antes una filtración de credenciales, y el dispositivo del hospital figuraba en la lista de credenciales filtradas. Una vulnerabilidad pública sin parchear durante mucho tiempo, junto con credenciales filtradas que nunca se revocaron, facilitó al atacante entrar.
Una vez dentro, el informe explica por qué se propagó: contraseñas cortas, ausencia de bloqueo de inicio de sesión y usuarios con derechos de administrador. Una vez comprometido un equipo, el ataque pudo extenderse por el hospital con privilegios de administrador. Y lo peor: el sistema principal y su copia de seguridad estaban en la misma red y ambos fueron cifrados. La copia que debía existir fue cifrada junto con la producción y no pudo usarse para la recuperación. El EMR permaneció fuera de servicio y la atención normal solo se reanudó tras unos dos meses.
«Tener una copia de seguridad» y «poder recuperarse» no son lo mismo
Una copia de seguridad no garantiza la recuperación solo por existir. Si está en la misma red y con los mismos privilegios que la producción, el ransomware cifra la producción y la copia juntas (justo lo que ocurrió con el Hospital Handa). Lo que funciona es una copia aislada de la producción, guardada sin conexión o fuera de las instalaciones, con versiones y, idealmente, inmutable, y cuya restauración se haya ensayado realmente. La regla práctica: 3-2-1 más copias sin conexión.
Cada etapa del ataque y cómo detenerla
También esto fue una cadena con un punto de corte en cada etapa. Léala no como pasos de un ataque, sino como los puntos donde podría haberse cortado.
① VPN expuesta a internet sin parchear frente a la CVE-2018-13379 + credenciales filtradas → entrada
Una vulnerabilidad de 2019 seguía presente y las credenciales filtradas nunca se revocaron.
⊘ Freno: vigilar CVE en dispositivos expuestos a internet; parchear rápido; revocar credenciales filtradas; MFA
② Contraseñas cortas, sin bloqueo, usuarios con derechos de administrador → propagación por el hospital
Desde un equipo comprometido, los derechos de administrador le permitieron llegar ampliamente al hospital.
⊘ Freno: autenticación robusta; bloqueo de cuentas; mínimo privilegio; segmentación; supervisión de inicios de sesión
③ Principal y copia en la misma red → ambos cifrados
La copia de seguridad no estaba aislada de la producción, por lo que también fue cifrada.
⊘ Freno: copias sin conexión o fuera de las instalaciones, con versiones e inmutables (3-2-1)
④ EMR fuera de servicio durante mucho tiempo → grave perturbación de la atención
La recuperación tardó unos dos meses, afectando gravemente a la atención regional.
⊘ Freno: recuperación ensayada; BCP médico (procedimientos en papel); respuesta rápida al incidente y comunicación
Cronología publicada
31/10/2021
En la madrugada, las impresoras imprimieron notas de rescate; el EMR y los sistemas de facturación quedaron fuera de servicio. Ese mismo día se celebró una rueda de prensa.11/2021
La atención continuó en papel. Comenzaron la investigación y el apoyo a la recuperación; se informó de que la restauración de datos era viable.12/2021
Se confirmó la restauración de los datos del EMR; los trabajos de recuperación avanzaron por fases.04/01/2022
Los sistemas volvieron a funcionar y la atención normal se reanudó, unos dos meses después de la infección.06/2022
El comité de expertos publicó su informe de investigación, que cita la vía de entrada (una vulnerabilidad de VPN sin parchear), el diseño de las copias de seguridad y la creencia de que «una red cerrada es segura».
Causa raíz: no solo el punto de entrada, sino la falta de controles básicos
Atribuirlo a que «la VPN del hospital fue atacada» pasa por alto lo esencial. Se utilizó una vulnerabilidad conocida y pública, no un ataque novedoso y sofisticado. La entrada, la propagación y el fallo en la recuperación se debieron a básicos descuidados: parcheo, credenciales y aislamiento de las copias de seguridad. El informe critica duramente la venta y operación de un sistema muy vulnerable sin mantenerlo actualizado (no nombramos al proveedor). Pero el punto duradero es este: aunque externalice las operaciones, el riesgo sigue siendo suyo.
Debilidades identificadas en el informe (en su momento)
- VPN expuesta a internet sin parchear frente a la CVE-2018-13379
- Las credenciales del dispositivo se habían filtrado y no se revocaron
- Contraseñas cortas, sin bloqueo, usuarios con derechos de administrador
- Principal y copia en la misma red, ambos cifrados
- La creencia de que una «red cerrada es segura»; capacidad de TI escasa
Una configuración defendida (prevención)
- Vigilar las CVE en dispositivos expuestos a internet y parchear rápido; MFA
- Revocar credenciales filtradas o reutilizadas; mínimo privilegio; bloqueo de cuentas
- Copias aisladas de la producción — sin conexión o fuera de las instalaciones, con versiones e inmutables
- Segmentar la red según la importancia (segmentar incluso una red cerrada)
- Recuperación ensayada y un BCP médico (procedimientos en papel)
Aunque externalice el trabajo, el riesgo sigue en su organización
Aunque un proveedor construya y mantenga sus sistemas, es su organización la que sufre la interrupción, ve afectada la atención y responde por ello. Por eso no lo deje solo en manos del proveedor: compruebe, en el contrato y en la práctica, «quién parchea las CVE expuestas a internet, cuándo y cómo», «si la copia de seguridad está aislada de la producción» y «cuándo se ensayó por última vez la recuperación». (Relacionado: el incidente del hospital de Osaka, en el que la VPN de mantenimiento de un contratista fue la vía de entrada; y el incidente de Capcom, en el que un dispositivo VPN antiguo fue la vía de entrada.)
Cómo evitar que se repita en su entorno
Esto aplica mucho más allá de los hospitales: a cualquier organización con dispositivos expuestos a internet y copias de seguridad. Por orden de prioridad:
Vigilar las CVE conocidas en dispositivos expuestos a internet y parchear rápido
Vigile las vulnerabilidades conocidas (CVE) en equipos expuestos a internet —VPN, cortafuegos— y aplique las correcciones con rapidez en cuanto se publiquen. Establezca una rutina de remediación de CVE para que «una CVE pública conocida quede sin parchear» no pueda ocurrir de forma estructural.
Revocar credenciales filtradas o reutilizadas; aplicar mínimo privilegio
Revoque las credenciales filtradas, evite su reutilización y aplique MFA donde sea posible. Añada bloqueo de cuentas y supervisión de inicios de sesión, y no conceda derechos de administrador sin necesidad (mínimo privilegio).
Aislar las copias de seguridad de la producción y mantenerlas sin conexión (3-2-1)
Coloque las copias en una red separada con privilegios separados, mantenidas sin conexión o fuera de las instalaciones, con versiones e inmutables, y ensaye su restauración. Es la defensa principal contra que «la copia se cifre junto con la producción».
Segmentar la red y crear un BCP médico
Segmente la red según la importancia (base de seguridad organizativa) y prepare un BCP (procedimientos en papel) para seguir atendiendo a los pacientes si los sistemas centrales quedan fuera de servicio durante mucho tiempo. Al Hospital Handa se le reconoció haber activado su BCP rápidamente y haber informado abiertamente; la preparación hizo posible una respuesta rápida.
Dónde se solapa esto con los principios de diseño de este sitio
El punto principal es que los básicos descuidados, y no un ataque sofisticado, determinaron el daño: parchear las CVE conocidas, gestionar bien las credenciales y aislar las copias de seguridad. Nada de esto es nuevo ni difícil. Es lo contrario de los principios de este propio sitio: corregir rápido las vulnerabilidades conocidas, no reutilizar credenciales y mantener una configuración recuperable. En particular, «tenemos una copia de seguridad, pero está en el mismo lugar que la producción» implica el mismo peligro que una clave de API que alcanza todos los conjuntos de datos. Parche los dispositivos expuestos a internet, gestione las credenciales con rigor, aísle las copias de seguridad y ensaye la recuperación. Son defensas que cualquiera puede implementar, independientemente de su tamaño o sector.
Fuentes (registros públicos)
Los hechos aquí se basan en la siguiente información pública. No incluimos instrucciones de ataque, datos personales identificables ni nombres de proveedores o contratistas; solo las lecciones defensivas.
- Hospital Tsurugi Handa — «Expert Committee Investigation Report on the computer-virus infection incident» (publicado en 2022) — handa-hospital.jp
- Cobertura y análisis (entrada a través de una vulnerabilidad de VPN sin parchear CVE-2018-13379, copia de seguridad en la misma red, la creencia de que «una red cerrada es segura», y la recuperación, 2021–2022) — basados en el informe oficial del comité
Lectura recomendada
- Hospitales en 2026: atención interrumpida por ciberataques (EE. UU., Bélgica, Japón) y procedimientos de contingencia
- Cuando la VPN es la vía de entrada: los dispositivos VPN son la mayor vía de entrada: defensa del acceso remoto tras la brecha de la Agencia Digital
- Glosario: qué es el ransomware (cómo funciona y cómo evitar pagar) / qué es una CVE (gestión de vulnerabilidades conocidas)
- Práctica: nociones básicas de copias de seguridad (la regla 3-2-1) / guía de remediación de CVE / la base de seguridad organizativa
- Casos: ransomware en un hospital de Osaka (2022) (la VPN de un contratista y el BCP médico) / ransomware en Capcom (2020) (un dispositivo VPN antiguo fue la vía de entrada) / ransomware en KADOKAWA (2024) (la segmentación insuficiente lo propagó por toda la empresa)