6:32
Ás 6:32 da mañá do 13 de xaneiro de 2026, o equipo informático do hospital AZ Monica, en Antuerpen, empezou a apagar servidores. Detectara actividade que non cadraba cunha rede sa e tomou a decisión que esixe a contención: illar, cortar, impedir que o intruso avanzase. A información publicada durante o incidente deixa ver o que veu despois. Canceláronse setenta operacións, limitáronse as urxencias, desviáronse ambulancias e varios pacientes críticos tiveron que ser trasladados.
Desconectar a rede era probabelmente o correcto. Tamén fixo desaparecer de golpe parte da memoria operativa do hospital. O persoal perdeu o acceso normal a historiais, prescricións, axendas e comunicacións. Volveu ao papel dentro dunha institución organizada desde había anos arredor de sistemas dixitais. A expresión oficial é modo degradado. Nunha planta significa chamar para confirmar o que antes aparecía na pantalla, copiar datos á man, buscar quen lembre un procedemento alternativo e decidir con menos contexto mentres medra a cola.
Podemos discutir durante semanas a etiqueta exacta do incidente, que grupo entrou ou canto pediu. Para quen agardaba unha intervención, unha ambulancia ou un resultado, a análise forense chegou tarde. A agresión dixital xa se convertera en atención perdida.
O tempo clínico non volve dunha copia de seguridade
Os informes empresariais miden horas de caída, expedientes expostos e custos de recuperación. Son cifras necesarias, mais describen mal un hospital. Unha fábrica pode recuperar mañá parte da produción. Unha copia pode devolver un historial. Ningunha recupera as seis horas durante as que unha proba non se fixo, unha ambulancia percorreu máis quilómetros ou un diagnóstico quedou esperando.
En 2020, unha muller que precisaba atención urxente foi desviada de Düsseldorf a outro hospital despois dun ataque. Morreu. A fiscalía alemá abriu unha investigación por homicidio imprudente, aínda que atribuír xuridicamente unha morte a unha intrusión concreta resultou moito máis difícil ca observar a cadea material. A paciente tiña que chegar a un lugar. Ese lugar non podía recibila. O traslado consumiu un tempo que o seu corpo non tiña.
Esa dificultade para escribir ransomware nun certificado de defunción favorece a case todos os que teñen responsabilidade. O dano repártese entre atrasos, erros, derivacións e sobrecarga. Cada caso illado admite dúbidas. O patrón conxunto non: quitarlle a un hospital as ferramentas coas que coordina a atención empeora a atención. Non precisamos inventar unha cifra espectacular para entendelo.
A garda que nunca aparece no orzamento
Un hospital é atractivo para a extorsión porque non pode esperar. Garda información íntima, traballa sen pausa e paga cada interrupción ao momento. O atacante explota esa urxencia. Explicar todo unicamente pola crueldade do delincuente resulta demasiado cómodo. Tamén hai que mirar quen deixou a institución fráxil e por que continuou así.
A seguridade compite en orzamentos nos que xa faltan enfermeiras, camas e equipos. O seu éxito consiste moitas veces en que non ocorra nada, unha compra difícil de defender fronte a unha necesidade clínica visíbel. Adíase unha renovación. Mantense un sistema antigo porque o aparello conectado aínda funciona. Un parche espera porque deter o servizo require unha xanela que ninguén atopa. Cada decisión pode parecer razoábel por separado. Xuntas fabrican fraxilidade.
Os provedores coñecen o terreo. Venden dispositivos caros ligados a software con ciclos de soporte pobres, cobran actualizacións ou converten a substitución dun compoñente nun problema de certificación moito maior. Os contratistas dividen responsabilidades ata que ninguén conserva un mapa completo da rede. A dirección asina o risco; o persoal clínico hérdao durante a garda.
En 2017, WannaCry paralizou partes do NHS británico. Había parches e advertencias, pero tamén máquinas vulnerábeis, inventarios incompletos e organizacións sen capacidade para aplicar a tempo o que recomendaban os papeis. Chegaron informes, plans e promesas. Despois chegaron Düsseldorf, Scripps, CommonSpirit, Change Healthcare e AZ Monica. A lección apréndese en cada rolda de prensa e esquécese no seguinte orzamento.
Quen pode mercar marxe de erro
A seguridade sanitaria segue os recursos da propia sanidade. Unha rede grande pode contratar especialistas, manter redundancia, segmentar sistemas, ensaiar recuperacións e premer un provedor. Un hospital pequeno ou rural pode depender dunhas poucas persoas para sostelo todo. Os pacientes teñen a mesma necesidade clínica; a institución pode mercar moita menos marxe de erro.
Cando unha rede rica falla, pode desviar traballo dentro da súa estrutura e pagar axuda externa. Cando falla o único hospital ao alcance dunha comarca, «desviar» significa percorrer distancia real. A desigualdade sae do cadro orzamentario e entra na ambulancia.
Do outro lado, o ransomware como servizo permite alugar ferramentas, infraestrutura de pagamento, páxinas de filtración e apoio para negociar. O delito especializou a súa cadea produtiva mentres moitas defensas dependen de equipos esgotados e compras fragmentadas. Logo esíxeselle ao hospital que «madure» coma se el escollese as condicións da competición.
Repartir a responsabilidade antes do próximo ataque
Hai que parchear, segmentar, manter copias illadas e practicar a recuperación. Un plan que non baixa ata esas tarefas é fume. Unha lista técnica sen cartos, tempo e responsábeis con nome tamén o é.
O financiamento público debe cubrir a renovación e o persoal necesarios para cumprir as obrigas que impón. Os contratos de compra teñen que garantir soporte durante toda a vida clínica do produto, actualizacións sen rescate comercial e comunicación rápida de vulnerabilidades. Os fabricantes deben responder cando un deseño neglixente contribúe ao dano. E a recuperación débese ensaiar co persoal que sosterá o modo degradado, non aprobarse nun documento que ninguén abre.
Ás 6:32, alguén en AZ Monica tiña autoridade para desconectar a rede e evitar algo peor. A capacidade de recuperarse decídese moito antes: en quen compra, quen mantén, quen cobre unha baixa, quen pode parar un servidor e que lles ocorre aos pacientes mentres está parado. Se esas respostas dependen do orzamento do hospital ao que lle toque chegar a unha persoa, aceptamos que unhas vidas merezan sistemas máis recuperábeis ca outras.
O próximo ataque volverá presentarse coma unha emerxencia inesperada. Xa non o é. Inesperado será unicamente o nome do hospital.