6:32
A las 6:32 de la mañana del 13 de enero de 2026, el equipo informático del hospital AZ Monica, en Amberes, empezó a apagar servidores. Había detectado actividad incompatible con una red sana y tomó la decisión que se toma para impedir que un intruso avance: aislar, cortar, contener. La información publicada durante el incidente permite reconstruir lo que vino después. Se cancelaron setenta operaciones, se restringieron las urgencias, las ambulancias recibieron otras rutas y varios pacientes críticos tuvieron que ser trasladados.
Apagar la red era probablemente lo correcto. También hizo desaparecer de golpe una parte de la memoria operativa del hospital. El personal perdió acceso normal a historiales, prescripciones, agendas y circuitos de comunicación. Volvió al papel dentro de una institución organizada desde hace años alrededor de sistemas digitales. «Modo degradado» es la expresión técnica. En una planta significa otra cosa: llamar para confirmar información que antes estaba en pantalla, copiar datos a mano, localizar a una persona que recuerde un procedimiento y decidir con menos contexto mientras la cola crece.
Podemos discutir durante semanas si el incidente merece una etiqueta u otra, qué grupo entró y qué cantidad pidió. Para quien esperaba una operación, una ambulancia o un resultado, el análisis forense llegó después. La agresión digital ya se había convertido en atención perdida.
El tiempo clínico no se recupera de una copia de seguridad
La cobertura empresarial mide horas de caída, expedientes expuestos y coste de recuperación. Son cifras necesarias, pero no describen bien un hospital. Una fábrica puede recuperar parte de la producción mañana. Una copia de seguridad puede devolver un historial. Ninguna restaura las seis horas durante las que una prueba no se hizo, una ambulancia recorrió más kilómetros o un diagnóstico esperó.
En 2020, una mujer que necesitaba atención urgente fue desviada de Düsseldorf a otro hospital después de un ataque. Murió. El caso abrió una investigación por homicidio imprudente, aunque atribuir jurídicamente una muerte a una intrusión concreta resultó mucho más difícil que observar la cadena material. La paciente necesitaba llegar a un sitio. Ese sitio no podía recibirla. El traslado consumió un tiempo que su cuerpo no tenía.
Esa dificultad para firmar un certificado de defunción con la palabra ransomware favorece a casi todos los responsables. El daño se reparte entre retrasos, errores, derivaciones y sobrecarga. Cada caso aislado admite dudas. El patrón conjunto no: quitar a un hospital las herramientas con las que coordina la atención empeora la atención. No hace falta inventar una cifra espectacular para entenderlo.
La guardia que nunca aparece en el presupuesto
Un hospital es atractivo para la extorsión porque no puede esperar. Guarda datos íntimos, opera sin pausa y paga cada interrupción con una presión inmediata. El atacante explota esa urgencia. Sin embargo, explicar el problema únicamente por la crueldad del delincuente es demasiado fácil. También hay que mirar quién dejó la puerta débil y por qué siguió así.
La seguridad compite en presupuestos donde faltan enfermeras, camas y equipos. Su beneficio consiste muchas veces en que no ocurra nada, una venta complicada frente a una necesidad clínica visible. Se aplaza una renovación, se mantiene un sistema antiguo porque el aparato conectado todavía funciona y se pospone un parche porque detener el servicio exige una ventana que nadie encuentra. Cada decisión puede parecer razonable por separado. Juntas fabrican fragilidad.
Los proveedores también conocen la situación. Venden dispositivos caros ligados a software con ciclos de soporte mediocres, cobran por actualizaciones o hacen que sustituir un componente implique recertificar medio sistema. Los contratistas dividen responsabilidades hasta que nadie conserva una visión completa de la red. La dirección firma el riesgo; el personal clínico lo hereda durante la guardia.
En 2017, WannaCry paralizó partes del NHS británico. Había parches disponibles y también advertencias, pero seguían existiendo máquinas vulnerables, inventarios incompletos y organizaciones sin capacidad para aplicar a tiempo lo que el papel recomendaba. Después llegaron informes, planes y promesas de aprendizaje. También llegaron Düsseldorf, Scripps, CommonSpirit, Change Healthcare y AZ Monica. La lección se aprende en cada rueda de prensa y se olvida en el siguiente presupuesto.
Quién puede comprar margen de error
La seguridad sanitaria sigue la distribución de recursos de la propia sanidad. Una red grande puede contratar especialistas, mantener redundancia, segmentar sistemas, ensayar recuperaciones y presionar a un proveedor. Un hospital pequeño o rural puede depender de pocas personas para sostenerlo todo. Atiende a pacientes con la misma necesidad clínica, pero compra mucho menos margen de error.
Cuando una institución rica falla, puede desviar actividad dentro de su propia red y pagar ayuda externa. Cuando falla el único hospital accesible de una comarca, «desviar» significa recorrer distancia real. La desigualdad deja de ser un cuadro presupuestario y entra en la ambulancia.
Al otro lado, el ransomware como servicio permite alquilar herramientas, infraestructura de pago y negociación. El delito especializó su cadena productiva mientras muchas defensas siguen dependiendo de equipos exhaustos y compras fragmentadas. Después se exige que el hospital «madure» como si estuviese compitiendo en condiciones elegidas por él.
Repartir la responsabilidad antes del próximo ataque
Hay que parchear, segmentar, mantener copias aisladas y practicar la recuperación. Un plan que no baja hasta esas tareas es humo. Pero una lista técnica sin dinero, tiempo y responsables es otra clase de humo.
La financiación pública debe incluir la renovación y el personal necesarios para cumplir las obligaciones que impone. Los contratos de compra tienen que exigir soporte durante toda la vida clínica del producto, actualizaciones sin rescate comercial y comunicación rápida de vulnerabilidades. Los fabricantes deben responder cuando un diseño negligente contribuye al daño. Y la recuperación se tiene que ensayar con el personal que sostendrá el modo degradado, no aprobarse en un documento que nadie usa.
A las 6:32, alguien en AZ Monica tuvo autoridad para desconectar la red y evitar algo peor. La capacidad de recuperarse se decide mucho antes: en quién compra, quién mantiene, quién cubre una baja, quién puede parar un servidor y qué sucede con los pacientes mientras está parado. Si esas respuestas dependen del presupuesto del hospital al que a uno le toque llegar, hemos aceptado que unas vidas merezcan sistemas más recuperables que otras.
El próximo ataque volverá a presentarse como una emergencia inesperada. Ya no lo es. Inesperado será únicamente el nombre del hospital.