Su empleado ha hecho clic en un correo electrónico de phishing. Aquí está lo que ocurre a continuación.
Es una tarde de martes. La coordinadora de recepción, Jessica, recibe un correo electrónico que parece provenir de su proveedor de registros electrónicos. El asunto dice: «Acción necesaria: Verifique su cuenta para evitar interrupciones del servicio.» Parece completamente normal: el logotipo, el formato profesional, un botón azul que dice «Verificar ahora». Hace clic en él, introduce su nombre de usuario y contraseña, y vuelve a comenzar a registrar pacientes.
Nada parece estar mal. La oficina sigue funcionando. Nadie entra en pánico.
Pero algo acaba de empezar que su práctica sentirá durante meses.
Los Primeros 15 Minutos: Lo que ve vs. Lo que realmente está sucediendo
Desde su lado de la oficina, nada es diferente. Tal vez Jessica note que la página de inicio de sesión parecía un poco extraña, o tal vez no se dé cuenta. En cualquier caso, sigue adelante.
Desde el lado del atacante, la historia es diferente. La página en la que aterrizó Jessica era una copia casi perfecta de la pantalla de inicio de sesión de su proveedor, pero estaba controlada por alguien que acababa de recibir su nombre de usuario y contraseña justo cuando las introducía. En cuestión de segundos, un sistema automatizado intenta iniciar sesión en su cuenta real utilizando esas credenciales exactas. Si su correo electrónico no requiere un segundo paso de verificación, ya están dentro antes de que termine con su próximo paciente.
Desde su cuenta de correo electrónico, el atacante comienza de forma discreta. Busca en su bandeja de entrada palabras clave: pago, factura, banco, transferencia, paciente, seguro, credenciales, VPN, contraseña. Busca hilos de correo electrónico con su equipo de facturación, su contador y cualquier proveedor al que pague regularmente. No tienen prisa. Están leyendo.
Las Próximas Horas: La parte que realmente no puede ver
Aquí es donde las cosas se vuelven técnicas, y también es donde la mayoría de las pequeñas oficinas médicas no tienen visibilidad en absoluto.
Si el atacante descubre que el inicio de sesión de correo electrónico de Jessica también funciona en su sistema de gestión de prácticas, su portal para pacientes o sus unidades de red compartidas, debido al uso de contraseñas repetidas, intentará acceder a todas esas opciones. Esto se conoce como ataque de credenciales, y está completamente automatizado. En entornos donde no existe un seguimiento activo del comportamiento de inicio de sesión en diferentes sistemas, este movimiento lateral puede pasar desapercibido durante días o semanas.
Al mismo tiempo, el atacante podría configurar un regla de reenvío de correo dentro de la bandeja de entrada de Jessica — una regla oculta que copia silenciosamente cada correo electrónico que recibe a una dirección externa. Esta es una técnica popular porque les permite acceder continuamente a sus comunicaciones, incluso después de que hayan cambiado su contraseña. La mayoría de los clientes de correo electrónico no muestran las reglas de reenvío en la pantalla principal. Tendrías que saber dónde buscar.
Si su red cuenta con un servidor de archivos compartido (y la mayoría de las oficinas médicas sí), el atacante intentará eventualmente acceder a él. Una vez que obtenga acceso al almacenamiento compartido, tendrá acceso a todo lo que contenga: registros de pacientes, tarjetas de seguro escaneadas, hojas de cálculo de facturación, archivos de recursos humanos, etc. En algunos casos, esta etapa termina con un software de ransomware, que cifra todos los archivos a los que pueda acceder y deja una nota exigiendo el pago para restaurarlos. En otros casos, el atacante simplemente copia lo que quiere y desaparece sin dejar rastro evidente, hasta que meses después se produzca una auditoría de cumplimiento o una queja de un paciente.
Según los datos publicados por la Oficina de Derechos Civiles del HHS, más del 70% de las principales filtraciones de datos de atención médica en 2024 y 2025 involucraron exactamente este tipo de ataque cibernético. — no se trata de un sofisticado ataque a nivel gubernamental, sino de un correo electrónico de phishing común que llegó a la bandeja de entrada de alguien en un día normal.
Lo que HIPAA dice sobre todo esto
Aquí está la parte que sorprende a muchos gerentes de oficina: HIPAA no solo se aplica si se descubre que se ha cometido un error. También se aplica en el momento en que se descubre que los datos de los pacientes podrían haber sido accedidos sin autorización — incluso si aún no se ha publicado nada ni se ha utilizado de forma indebida.
Según la Regla de Notificación de Filtraciones de HIPAA, su práctica está obligada a notificar a los pacientes afectados, informar sobre la filtración a la Oficina de Derechos Civiles del HHS, y — si más de 500 pacientes en un estado están afectados — notificar a los medios locales, todo dentro de los 60 días de descubrir la filtración. La investigación para determinar exactamente qué se accedió, cuándo y por quién, debe realizarse primero, y debe documentarse cuidadosamente.
En 2023, un centro de tratamiento Top of the World Ranch en Illinois informó sobre una filtración causada por un correo electrónico de phishing que expuso menos de 2.000 registros de pacientes — un número relativamente pequeño. La OCR investigó y descubrió que la práctica nunca había completado un Análisis de Riesgos de Seguridad requerido. Esto les costó una multa además de los costes de respuesta a la filtración. La propia filtración era casi un detalle secundario. La falta de documentación fue la infracción.
Una pequeña práctica médica en Alpharetta, Georgia, no se libró de una multa. Después de un ataque de ransomware, fueron obligados a cerrar sus puertas de forma permanente.
Tres cosas que realmente puedes hacer ahora
No todo requiere un equipo de TI. Hay algunas cosas que cualquier gerente de oficina puede implementar o promover hoy mismo — y realmente importan.
Habilita la autenticación de dos factores para tus cuentas de correo electrónico. Si tu oficina utiliza Microsoft 365 o Google Workspace, ambas plataformas permiten a los administradores habilitar esta función desde la configuración de la cuenta sin ninguna instalación técnica. Con la autenticación de dos factores activada, incluso si un atacante captura la contraseña de Jessica, aún no podrá acceder a su correo electrónico sin un código que solo ella recibe en su teléfono. Este único paso detiene la mayoría de los intentos de acceso a cuentas basados en el phishing. Si no está seguro de cómo encontrar esta configuración, busque «[su plataforma de correo electrónico] + habilitar MFA para todos los usuarios» — tanto Microsoft como Google publican guías paso a paso para esta tarea específica.
Cree una regla sencilla: «Hice clic en algo extraño» para su equipo. Actualmente, la mayoría de los empleados que sospechan que han hecho clic en un enlace sospechoso no dicen nada, porque se sienten avergonzados o no están seguros de si es un problema. Ese retraso es lo que convierte un pequeño incidente en uno grande. Dígale claramente a su equipo: si hace clic en un enlace y algo no parece bien — la página parece extraña, ha introducido su contraseña en un lugar inesperado, el navegador ha hecho algo inesperado — dígalo inmediatamente. Sin juicios. Cuanto más rápido se informe de un posible compromiso, más opciones tendrá para contenerlo.
¿Quién llamarías en la primera hora de un incidente real? Esto puede parecer obvio, pero la mayoría de las pequeñas prácticas no tienen una respuesta a esta pregunta. Si descubres mañana por la mañana que tu servidor de archivos ha sido encriptado y hay una nota de rescate en todas las pantallas de los ordenadores, ¿a quién llamarías primero? Anota ese número antes de que lo necesites.
Lo que no puedes manejar sin ayuda – y por qué está bien
Incluso si haces perfectamente esas tres cosas, una respuesta real a incidentes va mucho más allá de ellas.
Determinar exactamente qué se accedió requiere la extracción y el análisis de archivos de registro de tu plataforma de correo electrónico, tu equipo de red, tus servidores y tus dispositivos finales, cruzando las marcas de tiempo, las direcciones IP y la actividad del usuario para reconstruir una línea de tiempo de lo que vio y tocó el atacante. Este proceso se llama forense digital, y es lo que determina si estás informando de una brecha confirmada o de un incidente contenido. La diferencia es enormemente importante para los fines de HIPAA.
Aislar un sistema comprometido sin activar un paquete de ransomware – si está presente – requiere saber la diferencia entre desconectar un cable de red y ejecutar un comando de aislamiento remoto a través de tu software de gestión de dispositivos finales. Equivocarse en esto puede significar la diferencia entre una estación de trabajo encriptada y una sala de servidores encriptada.
Las cartas de notificación de brechas de HIPAA deben incluir elementos específicos: una descripción de lo que ocurrió, los tipos de información involucradas, los pasos que está tomando la práctica, lo que pueden hacer los individuos afectados para protegerse y la información de contacto para preguntas. Deben enviarse a las personas correctas dentro del plazo adecuado, y la documentación de todo el proceso debe conservarse durante seis años.
Los costes totales de recuperación para un incidente de ransomware en el sector sanitario han alcanzado, en los informes recientes, una media de 2,57 millones de dólares por incidente, no porque la demanda de rescate fuera tan alta, sino debido a la investigación, la remediación, el proceso de notificación, la respuesta regulatoria y el tiempo de inactividad operativo mientras se restauran los sistemas. La demanda de rescate en sí, en promedio, ha disminuido. Los costes asociados no.
La pregunta real no es «¿Esto podría ocurrirnos?».
Las prácticas sanitarias de todos los tamaños están siendo objeto de ataques – específicamente porque poseen datos de pacientes valiosos, a menudo tienen operaciones informáticas de bajo coste y están sujetas a presiones regulatorias que hacen que pagar un rescate parezca más rápido que investigar. El 88% de los empleados del sector sanitario abrieron correos electrónicos de phishing en 2024, según la investigación de ciberseguridad citada en los informes de HIMSS. No hicieron clic – los abrieron. Las tasas reales de clics son lo suficientemente altas como para que la pregunta para una pequeña práctica no sea si un correo electrónico de phishing llegará a la bandeja de entrada de alguien. La pregunta es si el entorno alrededor de esa bandeja de entrada está construido para contener lo que ocurre a continuación.
Una práctica que incluye la autenticación multifactorial, el monitoreo de los puntos finales, una copia de seguridad que no está conectada a la misma red que el resto, y un plan de respuesta a incidentes documentado, no es invencible. Pero es una práctica en la que un mal martes por la tarde sigue siendo simplemente un mal martes por la tarde: no una recuperación de seis meses, una investigación regulatoria y una carta a cada paciente que haya atendido en los últimos tres años.
Si no está seguro de cómo es su entorno desde el punto de vista de la seguridad, es decir, qué se monitorea, qué se copia de seguridad, qué ocurriría si algo fallara, entonces esa es la pregunta correcta para empezar. Es exactamente el tipo de revisión que vale la pena hacer antes de que llegue el correo electrónico de phishing, no después.
La autenticación de correo electrónico es otra medida importante a revisar antes de un incidente de suplantación, y no después. DMARC ayuda a los propietarios de dominios a reducir el uso no autorizado de su dominio en correos electrónicos falsificados, mientras que SPF y DKIM proporcionan las señales de autenticación que DMARC evalúa. Para una explicación técnica más detallada, consulte nuestra guía. Implementación, configuración y supervisión de DMARCincluyendo políticas SPF, DKIM, DMARC, informes y planificación de cumplimiento.
DK’s Enterprises ha estado ayudando a las oficinas y empresas médicas de Nueva York, de todos los tamaños, a gestionar exactamente este tipo de riesgos durante más de 25 años. Si desea comprender en qué situación se encuentra su organización, estaremos encantados de iniciar una conversación.
