Hackeo al PAMI: la falla previa que indicaba que el sistema no estaba bien protegido

Hace cuatro semanas el PAMI sufrió un hackeo en su sistema informático, la enorme red por la que se gestionan los trámites de salud de 5 millones de personas. Más allá de que desde entonces el organismo comunica minimizadamente los efectos del ciberataque, varias consecuencias repercutían todavía este lunes, el mismo día en que, además, este medio comprobó ciertos descuidos que podrían haber facilitado la vulneración.

La versión de algunas desinteligencias o descuidos en la gestión del sistema informático del PAMI comenzó a escucharse apenas se dio a conocer la vulneración que el 2 de agosto encriptó la información de los servidores y las 15.000 computadoras que vehiculizan el funcionamiento de la mayor obra social del país.

​Como informó Clarín, los datos secuestrados fueron difundidos maliciosamente este sábado, tras la negativa del Instituto Nacional de Servicios Sociales para Jubilados y Pensionados (INSSJP) de pagar el rescate exigido por el grupo de ciberdelincuentes Rhysida.

En las últimas semanas, este medio intentó corroborar una versión repetida por varias fuentes que apuntaban a un hecho en particular, una impericia informática del propio INSSJP, que -decían- había hecho especialmente sencillo perpetrar el ciberataque.

Señalaban que “simplemente” se había vencido el antivirus por falta de pago en la renovación, algo que Clarín consultó al entorno de la directora del organismo, Luana Volnovich, desde donde rápidamente descartaron la versión.

Sin embargo, como se verá, ese tema no está por completo afuera del mapa del hackeo al PAMI. Según se pudo averiguar, el antivirus no estaba vencido, pero sí mal instalado.

Qué pasó con el antivirus del PAMI

Es central resaltar que difícilmente un antivirus logre frenar de lleno el accionar sagaz de una organización de ciberdelincuencia experta. La idea de que con antivirus esto no hubiera ocurrido es contrafáctica y posiblemente errónea, apuntaron dos expertos en seguridad informática consultados para esta nota.

Sin embargo, dijo una fuente reservada estrechamente ligada al área tecnológica del PAMI, “de funcionar correctamente el antivirus, el sistema quizás hubiera dado algún aviso”.

Esta misma persona describió una situación de debilitamiento general del sistema informático del PAMI. Habló de una “dejadez” en el área, lo más parecido a un cuerpo que no se cuida y que luego se enferma: “Creo que hay un abandono de muchos años. Abandono en materia de desinversión durante por lo menos las dos últimas gestiones”.

El PAMI y la falta de mantenimiento

Que el antivirus no estaba vencido se puede comprobar en la resolución de la licitación otorgada por el organismo a la empresa Intuir Futuro SRL, en octubre de 2021. El paquete contratado duraba dos años, prorrogables a uno más.

La compra se pautó en casi 26,7 millones de pesos. De ese monto, casi 4,9 millones corresponden a la “solución de antivirus para 15.000 licencias”; casi 500.000, a una “capacitación para seis agentes” del organismo respecto del uso del software; y más de 10,6 millones, a la “actualización, soporte y mantenimiento”. Lo último aparentemente fue problemático.

Intuir Futuro opera como un canal de distribución de software de protección informática brindado por otras empresas importantes.

En este caso, la marca de antivirus comercializada es del gigante ruso Kaspersky, nombre que no está mencionado en el contrato de licitación, pero cuya relación con Intuir Futuro se pudo confirmar tras hablar con Elías Vernieri, ex dueño y fundador de esa firma, quien confirmó haberle vendido su empresa a Kaspersky, en 2020.

Sería Kaspersky la que, según las fuentes consultadas, no habría resuelto varios pedidos de soporte técnico de parte del PAMI, tras las dificultades para instalar el antivirus comprado.

En concreto, si bien lograron hacerlo funcionar en las 15.000 máquinas de la red nacional del organismo, no habrían logrado hacerlo «correr» en los servidores centrales del instituto.

La fuente reservada enfatizó dos cosas: que “el antivirus quedó ‘ a medias’, pero aunque hubiera estado completamente instalado, nada garantizaba que lo defendiera al 100%”, y que “el hackeo se produjo a través del servidor central, y desde ahí se pudo propagar al resto de las computadoras”.

Los interrogantes del hackeo al PAMI

Tras el ataque y ante el reclamo del instituto, Kaspersky hizo una suerte de descargo escrito (cuyos argumentos concretos no se pueden conocer). En ese texto (aseguró la fuente consultada) se habría desligado de toda responsabilidad con respecto al ciberataque.

Este lunes, Clarín se comunicó con representantes locales de Kaspersky. Si bien se disculparon por no poder brindar una entrevista y explicaron que hasta la semana que viene los voceros de la compañía están en un encuentro en Costa Rica, al cierre de esta nota contestaron lo siguiente: “Podemos confirmar que parte de la entidad (PAMI) está protegida con nuestra marca, pero no en su totalidad. Debido a que estamos bajo NDA (un acuerdo de confidencialidad), no podemos ofrecer más detalles”.

En el PAMI, en tanto, no respondieron los intentos de contacto de Clarín desde el miércoles 16 de agosto.

El hackeo y sus efectos

Para los usuarios del PAMI, no será fácil olvidar el ciberataque que la primera semana de agosto congeló todo el sistema informático nacional de la obra social y generó que las farmacias solo pudieran procesar órdenes médicas de puño y letra; que los pacientes se vieran en la tediosa situación de ubicar a sus médicos y coordinar turnos para retirar las recetas que antes iban directo a la farmacia por vía digital; y que los médicos tuvieran dificultades para facturar las consultas. Salvo la cuestión de las farmacias, ninguno de los temas parece estar por completo resuelto.

Hasta el viernes, en la Defensoría de la Tercera Edad señalaron problemas para muchos pacientes que requerían, por ejemplo, cambios de medicación oncológica y no lograban obtener la autorización correspondiente, posiblemente por las demoras en los trámites, producto del ataque informático.

Además apuntaron dificultades vivenciadas por los médicos de cabecera, algo que ratificó la especialista en Geriatría y magister en Diabetes Andrea Cassi, quien aseguró que “la restitución del sistema es parcial”.

Indignada por lo vivido en estas semanas, dijo haber intentado hacer trámites este sábado, sin suerte, a pesar de que la unidad de gestión de PAMI en CABA les hizo llegar a algunos médicos de cabecera una comunicación «tranquilizadora», con apariencia de formalidad, pero por Whatsapp, el viernes a última hora.

Allí, el organismo aseguró que se había restablecido “el 100% de los sistemas que brindaron servicios de PAMI a prestadores y afiliados” para que “puedan utilizarlo como habitualmente». Y que se había «habilitado la transmisión de las prestaciones realizadas durante este período excepcional”

Cassi remarcó su enojo, en particular por la falta de detalles con respecto a la seguridad del sistema. En efecto, la comunicación expresa que “se recuerda que la contraseña del SII es personal e intransferible. Es responsabilidad civil y penal de cada médico lo que suceda bajo su usuario. Por lo que recomendamos utilizar una contraseña fuerte y segura, además de hacerlo desde una computadora y/o redes propias en vez de públicas”.

“Está todo atado con alambre, todo precario», se quejó la médica, y aclaró: «No hubo una comunicación oficial sobre cómo se restablecía el sistema, con qué seguridad y en qué condiciones; si debemos cambiar la clave o no. Nos llega un chat a algunos, para que pasemos la información de boca en boca el fin de semana, cuando tenemos otros trabajos, dado lo poco que ganamos. El sistema se cuelga y muchos no logran facturar. No se puede acceder al padrón. El espacio no es seguro ni confiable”.

fuente: Clarin