El ataque del ransomware Qilin al NHS causa la muerte de un paciente en el Reino Unido

La muerte de un paciente se ha vinculado oficialmente a un ciberataque perpetrado por el grupo de ransomware Qilin , que paralizó los servicios de patología en varios hospitales importantes del NHS de Londres el año pasado. El ciberataque a Synnovis, un proveedor clave de patología, causó una interrupción generalizada de servicios de diagnóstico vitales, retrasando los resultados de análisis de sangre críticos y afectando significativamente la atención al paciente.

El King's College Hospital NHS Foundation Trust confirmó que un paciente falleció inesperadamente durante el ciberincidente. Un portavoz del fideicomiso reveló que una revisión detallada de la atención médica del paciente reveló múltiples factores contribuyentes, incluyendo "una larga espera para el resultado de un análisis de sangre debido al ciberataque que afectó a los servicios de patología en ese momento".

Los resultados de esta investigación de seguridad se han compartido con la familia del paciente. El director ejecutivo de Synnovis, Mark Dollar, expresó su profunda tristeza y declaró: «Nos solidarizamos con la familia involucrada».

Hackread.com informó sobre este incidente el 4 de junio de 2024, poniendo de manifiesto el caos que afectaba al sistema sanitario londinense. El ataque tuvo lugar el 3 de junio de 2024 y tuvo como objetivo Synnovis, empresa que ofrece diagnósticos, pruebas y patología digital en el sureste de Londres. Este incidente paralizó los análisis de sangre en varios centros del NHS, como King's College, Guy's y St Thomas', y los hospitales de Lewisham y Greenwich, así como en consultas de médicos de cabecera.

La interrupción fue extensa, afectó a más de 10.000 citas para pacientes ambulatorios y provocó el aplazamiento de 1.710 operaciones en King's College y Guy's and St Thomas' NHS Foundation Trusts.

Además, según Sky News , se retrasaron 1100 tratamientos contra el cáncer. Los profesionales sanitarios se enfrentaron a dificultades con las transfusiones y la compatibilidad sanguínea, lo que los obligó a utilizar sangre de tipo O universal, lo que contribuyó a una escasez nacional de suministros de este tipo, según explicó el Servicio Nacional de Salud de Inglaterra.

Casi 600 incidentes de seguridad de pacientes estuvieron relacionados con el ataque, con dos casos clasificados como graves, lo que indica daños permanentes o retrasos que ponen en peligro la vida, según cifras revisadas de 2025. Synnovis también informó haber tenido que descartar 20.000 muestras de sangre degradadas de 13.500 pacientes debido a la imposibilidad de analizarlas.

Se cree que el grupo cibercriminal ruso Qilin es el responsable. El grupo también publicó en línea casi 400 GB de datos confidenciales robados, incluyendo nombres de pacientes, fechas de nacimiento, números del NHS, descripciones de análisis de sangre y acuerdos financieros entre hospitales y Synnovis, en su sitio de la darknet y su canal de Telegram.

Esta trágica muerte guarda paralelismos con un incidente similar ocurrido en Alemania el 18 de septiembre de 2020, según informó Hackread.com. En ese caso, un ataque de ransomware contra el Hospital Universitario de Düsseldorf (UKD) provocó un fallo en los sistemas informáticos. Una paciente que necesitaba atención urgente tuvo que ser trasladada a otro hospital a 32 kilómetros de distancia, lo que le provocó la muerte.

Los investigadores descubrieron posteriormente que los atacantes habían atacado por error a la universidad, no al hospital, y que proporcionaron una clave de descifrado al ser informados de su error. La vulnerabilidad explotada en ese ataque, Citrix ADC CVE-2019-19781 , contaba con un parche disponible un mes antes, lo que pone de relieve la necesidad crítica de actualizaciones de ciberseguridad oportunas en el sector sanitario, ya que estos trágicos incidentes ponen de manifiesto el grave coste humano de los ciberataques a las instalaciones médicas.