Ciberseguridad en el laboratorio clínico: cómo protegerlo de un ransomware

Un laboratorio clínico pequeño se protege de un ransomware con cinco medidas que no requieren un departamento de informática: copias de seguridad desconectadas y probadas, una cuenta propia para cada persona, equipos con un sistema operativo que todavía recibe actualizaciones, personal entrenado para reconocer correos y mensajes falsos, y un plan para seguir trabajando en papel. No es un riesgo teórico: entre 2016 y 2021 se registraron 374 ataques de ransomware contra centros de salud de Estados Unidos, y casi la mitad interrumpió la atención a pacientes. En 2024, uno dejó al servicio nacional de laboratorios de Sudáfrica sin su sistema de laboratorio durante semanas.

¿Qué es un ransomware y por qué ataca a los laboratorios?

Un ransomware es un programa malicioso que cifra los archivos y sistemas de una organización y pide un pago a cambio de liberarlos. Muchos grupos, además, copian los datos antes de cifrarlos y amenazan con publicarlos.

Un laboratorio clínico reúne las dos condiciones que buscan: no puede detenerse, porque hay pacientes esperando resultados, y guarda datos sensibles de salud. Cuanto más urgente es volver a trabajar, más presión hay para pagar.

Las cifras muestran la tendencia. Un estudio publicado en JAMA Health Forum contó los ataques contra hospitales, clínicas y otros prestadores de salud de Estados Unidos (Neprash y colaboradores, 2022):

No hay un registro equivalente para Latinoamérica que se pueda citar con confianza. Que no se publique no significa que no ocurra.

¿Qué pasa cuando un ransomware paraliza un laboratorio?

El caso mejor documentado es reciente. El 22 de junio de 2024, el National Health Laboratory Service de Sudáfrica —que presta más del 80 % de los servicios de patología del país— sufrió un ransomware que dejó inutilizables sus sistemas informáticos, incluido el sistema de información del laboratorio. Un equipo del hospital Tygerberg, en Ciudad del Cabo, publicó cómo lo vivieron en la revista de la Federación Internacional de Química Clínica (Davids y colaboradores, 2026):

• Los procesos automatizados volvieron a hacerse a mano, y los resultados nuevos y los históricos quedaron inaccesibles.
• El laboratorio publicó una lista de pruebas prioritarias y suspendió temporalmente las especializadas.
• Los médicos llamaban por teléfono o iban a buscar impresiones en papel sacadas directamente de los analizadores.
• Pasaron tres semanas hasta recuperar un acceso digital limitado, y fue a través de otra plataforma.

En la encuesta a 58 médicos, el 78 % reportó retrasos en diagnósticos y el 57 % percibió al laboratorio como no preparado para la caída. La cantidad de creatininas solicitadas bajó un 26,8 % frente a años anteriores.

Lo que más cuesta en un ataque no es el rescate: es el tiempo sin sistema y no tener a mano el historial de los pacientes.

¿Cómo entra un ransomware a un laboratorio pequeño?

La guía de ransomware de la agencia de ciberseguridad de Estados Unidos (CISA) describe las puertas de entrada más comunes. En un laboratorio pequeño se traducen así:

1. Un correo o mensaje falso. Una «factura del proveedor» o un «resultado» adjunto que, al abrirse, instala el programa.
2. Contraseñas robadas o compartidas. La clave de la recepción escrita en un papel pegado al monitor, o la misma contraseña usada en todos lados.
3. Programas de acceso remoto mal protegidos. El que se instaló para que el técnico revisara la computadora y se quedó abierto, con una clave sencilla.
4. Equipos sin actualizar. Es el punto más frecuente en laboratorios: la computadora conectada al analizador o la de recepción con un Windows viejo.

Sobre el cuarto punto, las fechas son de Microsoft: Windows 7 dejó de tener soporte el 14 de enero de 2020 y Windows 10 el 14 de octubre de 2025. Un equipo fuera de soporte deja de recibir las correcciones de seguridad normales, y cada falla que se descubre después queda abierta.

¿Qué copias de seguridad sirven contra un ransomware?

No todas. CISA recomienda mantener copias desconectadas y cifradas y probar con regularidad que se pueden restaurar, porque muchos ransomware buscan las copias accesibles desde la red para cifrarlas o borrarlas también.

Una copia que nunca se ha restaurado no es una copia, es una esperanza. Elija un día al mes para restaurar un archivo cualquiera y comprobar que abre.

Si su sistema de laboratorio está en la nube, los datos de pacientes y órdenes los guarda el proveedor. Pregúntele por escrito cada cuánto respalda, dónde y en cuánto tiempo puede restaurar. Pregúntele también si usted puede descargar sus datos cuando quiera: es lo que explica la portabilidad de los datos del laboratorio. Lo que vive en las computadoras del laboratorio —planillas, facturas, documentos de calidad— sigue siendo responsabilidad suya.

¿Por qué cada persona necesita su propia cuenta?

Una cuenta compartida hace imposible saber quién hizo qué. Y si alguien la entrega sin querer en un correo falso, entrega el acceso de todos.

Las medidas son sencillas:

• Una cuenta por persona, nunca «recepcion» o «laboratorio» para todo el turno.
• Doble factor de autenticación —un código en el teléfono además de la contraseña— en el correo y en todo servicio que lo ofrezca. CISA lo recomienda sobre todo para el correo y para las cuentas que entran a sistemas críticos.
• Cerrar la cuenta el mismo día en que alguien deja de trabajar en el laboratorio.
• Permisos según la función: quien recibe pacientes no necesita poder borrar resultados validados.

Esto también importa fuera de la seguridad informática. Si el informe lleva la firma de quien validó, esa firma solo vale si la cuenta es personal; por qué, lo explica el artículo sobre la firma electrónica de resultados.

¿Qué hacer en las primeras horas de un ataque?

La guía de CISA pide recorrer los primeros pasos en orden. Adaptados a un laboratorio pequeño:

1. Aislar los equipos afectados. Desconecte el cable de red o apague el wifi de las computadoras con archivos cifrados o mensajes de rescate. Si son varias, desconecte el router.
2. No borrar nada ni reinstalar todavía. Fotografíe la pantalla con el mensaje y anote la hora en que se notó.
3. Avisar al proveedor de su sistema de laboratorio y a quien le da soporte técnico, y cambiar desde un equipo limpio las contraseñas del correo y de los sistemas en la nube.
4. Pasar al plan en papel para seguir atendiendo: es el mismo que sirve cuando se va la luz, y está descrito en qué hacer con las órdenes cuando el laboratorio se queda sin luz o sin internet.
5. Restaurar desde una copia limpia, empezando por lo que más se necesita, y solo después de que alguien confirme que el equipo ya no está infectado.

El laboratorio sudafricano mostró algo que conviene copiar antes de necesitarlo: tener definida la lista de pruebas que se siguen haciendo durante la caída y cómo se entregan los resultados sin sistema.

¿Por dónde empezar esta semana?

Ninguna de estas medidas exige comprar equipos. Ordenadas por lo que más protege con menos esfuerzo:

Y una revisión periódica de quién entró y qué hizo en el sistema. En Vitalixs, por ejemplo, cada persona entra con su propia cuenta, con permisos según su función, y el sistema guarda un registro de auditoría de las acciones; puede ver qué incluye el sistema.