¿Qué tan grave es el hackeo de la Caja? Esto dicen los expertos en TI

Existen altas probabilidades de que los ciberdelincuentes de “Hive Ransomware Group” tengan en sus manos información sensible de los asegurados de la Caja, a la vez, que no se puede descartar en estos momentos un alto riesgo de eliminación de datos médicos y también encriptación de la información.

Lea más: Hackeo a la Caja se convierte en emergencia institucional

Por otra parte, denuncias de pacientes sobre una supuesta alteración de expedientes médicos es posible. Anthrax, la pérdida de todos los dientes por un accidente de tránsito y el haber nacido sin un brazo, son algunas de los modificaciones que reportó un asegurado en días pasados sobre su expediente digital.

La buena noticia, es que la Caja tiene toda la información respaldada y de ser necesario, puede hacer una especie de borrón y cuenta nueva en los 1.500 servidores de la institución y con ello, borrar del mapa cualquier amenaza de los cibercriminales, según Álvaro Ramos, presidente de la Caja.

Al cumplirse ayer el segundo día de hackeo de los sistemas informáticos de la Caja -incluidos el pago de planillas, pensiones y expediente digital, conocido como Edus – no existe una verdadera claridad sobre la situación.

Esto, porque la Caja anunció que no encenderá las computadoras toda la semana y que todavía no se sabe cuántos servidores fueron penetrados.

Sin embargo, lo cierto del caso es que los cibercriminales pudieron haber ingresado a los sistemas informáticos desde hace semanas o meses -se cree que fue en febrero – y con ello, hacer lo que querían con la información.

En la práctica, es como si un ladrón hubiera ingresado a su casa y durante semanas haya estado solo, a sus anchas y con la posibilidad de invitar a sus amigos.

En este contexto, los chantajes y las amenazas continuarán hasta que los criminales obtengan lo que exigen del gobierno: un pago por $5 millones en Bitcoins. Esta es la opinión de Esteban Jiménez, experto en ciberseguridad consultado por LA REPÚBLICA.

“A diferencia de Conti, esta organización utiliza técnicas de guerrilla, de modo que si no se toman las medidas adecuadas no sería extraño saber de un posible contraataque. Hay que tener mucho cuidado con Hive, es un grupo menos organizado y más pequeño, pero que no teme en aplicar técnicas más agresivas”, comentó Jiménez.

Costa Rica se ha convertido en un objetivo para los atacantes informáticos, dada la vulnerabilidad en sus sistemas.

“El gobierno asignó hace semanas un equipo de emergencia, pero, ¿cuál es el reporte hasta el momento? Mientras se siguen haciendo análisis, la Caja ya fue atacada y otras instituciones estratégicas como Acueductos y Alcantarillados o empresas proveedoras de energía están en altísimo riesgo”, agregó el experto.

De momento, las autoridades sanitarias atienden a los usuarios “a la antigua”; es decir, con los expedientes físicos, lo cual, ha hecho que miles de personas hayan perdido sus citas, o bien, que se les hayan reprogramado.

A pesar de las consecuencias inmediatas de la crisis, Ramos confía en que dentro de poco todo volverá a estar en línea y que la información no será borrada, ni alterada de ninguna manera.

“Aquí lo más importante es no caer en provocaciones, ni mucho menos pagarles un solo colón a los piratas, porque esto agravaría la ya mala reputación que en estos momentos tiene Costa Rica a nivel de ciberseguridad. De momento, la Caja asegura que cuenta con respaldo de la información, y en verdad confiamos de que así sea. La institución debe ser transparente con los mensajes y las estrategias”, comentó Luis Gorgona, socio TI de RSM Costa Rica.

Lea más: Supuesta negligencia en hackeo de la Caja será investigado, señaló Rodrigo Chaves

Hasta ahora, no hay evidencia que demuestre un posible vínculo entre los grupos de cibercriminales Conti y Hive, pero sí es cierto que ambas han obligado a las instituciones gubernamentales a poner sus barbas en remojo y cuando menos, ponerles más atención a sus sistemas de ciberseguridad, los cuales, cuentan con un lamentable rezago de diez años como mínimo.