Hace un par de semanas escribí criticando la preocupación que existe por parte de los centros de salud en chile respecto a temas de seguridad informatica (algunos le dirian seguridad cibernetica). Luego de esa publicación, dejé pasar un tiempo para recorrer distintos sitios web relacionados con salud que han sido intervenidos y al parecer ni si quiera se han dado cuenta.

Un recorrido rapido por algunos sitios, muestra rapidamente una lista de sitios o sistemas de salud intervenidos por terceros, de gobierno, clínicos, independientes, etc.
Más allá del problema mismo de la intervención del sitio, la pregunta es ¿a qué información logró acceder el atacante? o ¿cual fue el impacto del atacante? Si pudo ingresar a un servidor perfectamente pudo haber saltado a otro.

Ejemplo 1: Sitio web de Estrategia Digital de Salud, Ministerio de Salud del Gobierno de Chile.

Típico de una versión de WordPress sin mantener ni actualizar. Usan WordPress 4.2, desde esa versión han anunciado varias actualizaciones de seguridad. Como el atacante al parecer solo pudo subir un archivo dentro del directorio uploads/, que por lo general debe encontrarse con permisos de escritura, probablemente el atacante pudo acceder al panel de administración de wordpress.

Ejemplo 2: Farmacenter, centro de salud, enfermeria, venta de medicamentos.

Los atacantes intervinieron el sitio principal, la raiz por asi decirlo, probablemente tenga un impacto mayor al anterior.

Ejemplo 3: Sincromed, transcripción de informes médicos, digitación de informres radiologicos, etc.

Se puede ver mediante Google que varias páginas de Sincromed han sido intervenidas. Cuando intentamos ingresar a una de ellas con Mozilla Firefox aparece un mensaje de un tercero, indicando que el sitio ha sido intervenido.

Ejemplo 4: Tecmed, colegio de tecnólogos médicos

En algun momento alguien accedio a la administración o a algun panel que permitió subir ese archivo que demuestra la intervención de un tercero.

Estos sitios llevan varios dias intervenidos, por lo que se demuestra el nulo monitoreo o nula preocupación.