Ciberdelincuente vende credenciales de trabajadores de hospitales franceses

50.000 cuentas de usuario de agentes de hospitales franceses están a la venta en un foro de ciberdelincuentes. Estos datos podrían permitir a los compradores acceder a las redes informáticas de determinados establecimientos sanitarios. Una vez introducidos en el sistema, los delincuentes pueden implementar su ransomware y paralizar el hospital.

Nueva alerta para los hospitales franceses esta vez lanzado por el sitio del reloj del Ministerio de Salud el 18 de febrero de 2021. El CERT (centro gubernamental de monitoreo, alerta y respuesta a ataques informáticos) les advirtió de la venta de una base de datos en un foro de ciberdelincuentes. El matón lo publicó el 4 de febrero bajo el nombre de “Base de datos relacionada con medicamentos de FR”. Dentro habría, según el vendedor, una lista de contraseñas y direcciones de correo electrónico de ” 50.000 cuentas de usuario ». El Ministerio de Salud declara que pertenecen ” probablemente al personal del hospital ».

Por su parte, el bloguero Damien Bancal explica sobre Zataz que el ciberdelincuente le proporcionó pruebas del contenido de la base de datos. Obtuvo correos electrónicos vinculados a casi diez hospitales, incluidos los de Lyon, Burdeos y Besançon. ¿Cuál es el precio que cobra el delincuente para obtener la base? 1.000 dólares. Una cantidad justificada por la posibilidad de utilizar estos identificadores para configurar lucrativos ataques de ransomware. Como explica el Departamento de Salud, los compradores de base podrían usar esta información para intentar conectarse a las VPN de los hospitales u otros espacios en línea como las cuentas de Outlook y Gmail. Su objetivo final: ingresar a la red informática e implementar su malware.

¿Es esta base de datos realmente valiosa?

Si esta venta requiere la implementación de medidas preventivas en los establecimientos en cuestión, es difícil saber cuál es el valor real de la base sin obtenerlo. ¿Contiene 50.000 líneas de identificadores según lo reclamado por el vendedor? ¿Se pueden utilizar estos identificadores? Como recordatorio, en este tipo de lista, la contraseña asociada con el correo electrónico es la que la persona interesada usó para una de sus muchas cuentas en línea (no sabemos cuáles, puede ir desde un foro de juegos hasta un sitio de citas , por ejemplo), no el de correo electrónico. Si la víctima no reutiliza la contraseña filtrada para iniciar sesión en sus herramientas profesionales, la lista no servirá de nada.

Entonces, el interés de la base varía si los datos son nuevos o ya se conocen. Si la lista de identificadores de trabajadores hospitalarios contiene información que ya se ha filtrado de antemano, se reducirá el riesgo que representa. A modo de comparación, el año pasado, una fuente comunicó a Cyberguerre una lista con contraseñas vinculadas a direcciones gubernamentales (en “gouv.fr”). Esta base de datos era un agregado de varios fragmentos de filtraciones de datos conocidas, como las famosas “Colecciones # 1”. Es peligroso porque permite apuntar a un sector en particular, pero el Cert francés ya había tomado nota de su contenido y advirtió a las administraciones interesadas para que se pudieran cambiar las contraseñas comprometidas.

Los hospitales franceses ya están en alerta

El hecho es que incluso si las contraseñas de la base no son utilizables, nada de lo que la lista de correos electrónicos tiene de interés para los matones. Permitiría a un ciberdelincuente realizar una focalización precisa y lanzar un phishing a medida para atrapar a los trabajadores de la salud.

Desde principios de 2021, las autoridades deben intervenir todas las semanas al lado de la cama de un hospital francés víctima de diferentes ransomware. La cobertura mediática en torno a las dos últimas víctimas, los hospitales de Dax y Villefranche-sur-Saône, llevó al presidente Macron a anunciar una serie de medidas destinadas a defender mejor los establecimientos de salud. Estas medidas complementan un plan nacional de inversiones, una pequeña parte del cual se destina al desarrollo de Anssi, la agencia francesa en la primera línea de respuesta a estos ataques.

Los hospitales son objetivos interesantes: pagan el rescate en más del 80% de los casos según un criminal. En Francia, Anssi presiona a las víctimas para que nunca paguen, pero la parálisis de los servicios de TI causada por el ransomware puede obligar a los gerentes a cambiar de opinión: a veces ya no son solo los datos, sino las vidas de los pacientes lo que está en juego.