Capítulo 5 — 112 #3

—Esto es lo que tenemos —dijo Leire—. A las 1:50 de la madrugada, alguien entró en la red de Osakidetza.

No entró por la puerta: entró por una cuenta de servicio con permisos de administración que llevaba años durmiendo, una cuenta que nadie había desactivado, una cuenta que alguien había dejado abierta como se deja abierta una puerta del sótano.

—Señaló la pantalla—. Desde ahí, el atacante movió un cifrado masivo sobre los sistemas no críticos: citas, receta electrónica, consulta de listas, esos sistemas que se pueden caer sin matar a nadie.

Los cifró y pidió rescate. El ransomware del año, dicen los periódicos.

—¿Y los críticos? —preguntó Irati.

Leire sonrió, una sonrisa breve, de las de la gente que lleva días esperando que alguien haga esa pregunta.

—Los críticos no los cifró —dijo—. Los críticos los manipuló.

Irati sintió el escalofrío bajarle por la columna. Se acercó a la pantalla, donde Leire había abierto una segunda vista, una en la que los puntos de la red aparecían conectados por líneas que cambiaban de color.

—Los quirófanos, las urgencias, las UCI, los sistemas de medicación —dijo Leire, recorriendo las líneas con el dedo—.

Esos no se cayeron. Se mantuvieron en pie, con sus protocolos de emergencia intactos.

Pero los datos que alimentaban a los médicos, los historiales, los resultados, las alertas de alergia, las interacciones de medicación, esos fueron manipulados: algunos borrados, otros alterados, otros sustituidos por datos falsos que parecen reales.

—Hizo una pausa—. El cifrado es ruido. El teatro.

La parte que se ve. Lo que de verdad ha ocurrido es que alguien ha entrado en la red y ha tocado las cosas que no debía tocar, sin romperlas, de manera que nadie pueda saber qué se ha tocado hasta que sea demasiado tarde.

Irati se quedó un momento en silencio, con la pantalla delante y el ruido de los servidores alrededor.

—¿Cómo sabes que no los cifró? —preguntó.

—Porque los cifró después —dijo Leire—. El ataque se ordenó en dos fases.

Primero la manipulación: quince minutos de acceso a los sistemas críticos, el tiempo justo para tocar datos sin romperlos.

Luego el cifrado: el ruido, la cortina de humo, el ransomware que todo el mundo va a ver.

—Miró a Irati—. La manipulación fue quirúrgica.

El cifrado, de teatro. No es un ataque de un hacker suelto: es un ataque de alguien que sabía exactamente qué quería tocar y qué quería que viéramos que tocaba.

—¿Y quién es?

—Eso es lo que estamos buscando —dijo Leire—.

Pero hay una cosa que ya sé. —Señaló el mapa—.

La cuenta de servicio que se usó para entrar lleva durmiendo años.

Eso no se encuentra: se sabe. Alguien de dentro, alguien con acceso al sistema, alguien que sabía dónde estaba la puerta del sótano y quién tenía la llave.

—Hizo una pausa—. El ataque es de fuera, pero el que abrió la puerta es de dentro.

Irati pensó en Ane Arrieta, vigilando la red de Osakidetza, con su informe de los accesos a las tres de la madrugada archivado en el limbo de los documentos que nadie lee.

Pensó en el historial de su madre, perdido.

Pensó en el técnico del 112, que le había dicho que el sistema se estaba cayendo «como si alguien estuviera apagando las luces una a una, de la misma casa, a propósito».

—Leire —dijo Irati—. Ese patrón de acceso a historiales de oncología a las tres de la madrugada. ¿Lo has visto?

Leire la miró, con una chispa de interés que antes no tenía.

—No lo he visto —dijo—. Pero suena exactamente al tipo de cosa que alguien no querría que se viera. —Hizo una pausa—. ¿De dónde lo has sacado?

—De un informe que nadie leyó —dijo Irati—. De una mujer que trabajaba vigilando esa red. Y que apareció muerta en un contenedor la semana pasada.

Leire se quedó un momento en silencio, con el mapa y el código en la pantalla y la frase flotando en el aire como una pieza que acababa de encajar.

—Entonces —dijo Leire, con una voz distinta, más baja—, no es que el contenedor sea parte de esto. Es que esto es parte del contenedor.

Irati asintió.

—La mujer que vigilaba la red —dijo—. Y la red se cae la misma semana en que ella aparece muerta. No es casualidad, Leire. Es una pieza más del mismo caso.

Leire la miró un momento, y luego se volvió hacia el terminal, con los dedos ya moviéndose sobre el teclado, y dijo, sin levantar la vista:

—Entonces vamos a encontrar quién tocó los críticos. Y vamos a encontrar a quién dejó la puerta del sótano abierta. —Hizo una pausa—. Y vamos a encontrar quién le pegó un tiro en el pecho a esa mujer y la metió en un contenedor para que el mar la devolviera.

Irati sintió el golpe en el pecho.

—¿Un tiro? —preguntó.

Leire levantó la vista.

—La autopsia. Tu gente me pasó el expediente. Maddi, la forense, dice que el disparo fue el que la mató: de frente, a quemarropa, dos disparos en el pecho y uno en la cabeza, la ejecución limpia de los que saben lo que hacen. —Miró a Irati—. No te lo habían dicho, ¿verdad?

Irati se quedó un momento en silencio, con el ruido de los servidores alrededor y la imagen del contenedor girándole en la cabeza.

—No —dijo—. No me lo habían dicho.

—Pues ya te lo digo yo —dijo Leire—. La mujer del contenedor fue ejecutada. Y ahora su sistema se cae. —Hizo una pausa—. Hay gente que no quiere que se lea la letra pequeña, Irati. Y cuando la letra pequeña empieza a leerse, empiezan a caer las luces.

Irati miró la pantalla un momento más, con los puntos rojos de la red encendidos en toda Euskadi, y pensó en Ane, en su informe ignorado, en el patrón de las tres de la madrugada, y en la frase de su madre, que el mar no miente.

—Leire —dijo—. Esa cuenta de servicio que usaron para entrar. ¿Quién la creó? ¿Quién tenía la llave?

Leire se volvió hacia el terminal, con una expresión que Irati ya empezaba a conocer: la del que ha encontrado una pista que no esperaba.

—Buena pregunta —dijo Leire—. Voy a averiguarlo.

Y mientras decía eso, Irati vio cómo en su pantalla empezaban a desplegarse los registros de la cuenta de servicio que llevaba años durmiendo, con el nombre del sistema que la había creado y la fecha, una fecha de hacía una década, cuando el vertedero de Mokorreta todavía era una empresa en funcionamiento y Koldo Ugarte todavía era un operario que desapareció un día sin dejar rastro.

Irati no dijo nada. Se quedó mirando la fecha en la pantalla, con el frío subiéndole por la nuca, y pensó que el caso, por fin, empezaba a tener un camino que subía.

No hacia el puerto.

Hacia el monte.

Mientras salían de la sala de crisis hacia el pasillo de servidores, Leire fue hablando sin mirarla, con esa manera de hablar de los que están pensando en voz alta.

—Lo que no me cuadra —dijo— es el timing.

El cifrado se lanzó a la 1:50 de la madrugada, cuando los hospitales están en el turno de noche, cuando hay menos gente mirando las pantallas y más servidores en mantenimiento.

Pero la manipulación de los críticos, esa, se hizo antes: se hizo de día, en las horas de más tráfico, cuando nadie se fija en una cuenta de servicio que consulta datos.

—Hizo una pausa, empujando la puerta de la sala de servidores—.

Quince minutos de acceso quirúrgico, en plena jornada laboral, sin levantar sospechas.

Eso no lo hace un atacante: eso lo hace alguien que conoce los turnos, las ventanas de mantenimiento, los momentos en que el sistema está tan ocupado que nadie mira lo que se consulta.

—¿Y cómo sabes que fue de día? —preguntó Irati.

—Porque he mirado los logs de las consultas —dijo Leire, deteniéndose junto a un rack de servidores con los LEDs parpadeando en verde y rojo—.

La cuenta de servicio que abrió la puerta durmió diez años.

Pero hace tres semanas, un martes, a media tarde, alguien la despertó.

No entró por la puerta principal: entró a través de un nodo de pruebas, un sistema de desarrollo que no está conectado a la red de producción pero que comparte credenciales con ella.

—Señaló uno de los servidores—. Un nodo de pruebas es lo último que se mira cuando hay un ataque.

Todo el mundo mira los servidores de producción, los que tienen los datos de los pacientes.

Nadie mira el nodo donde se prueban las actualizaciones.

—Miró a Irati—. El que hizo esto conoce el sistema por dentro.

No lo ha atacado desde fuera: lo ha vivido desde dentro.

Irati se quedó un momento en silencio, con el zumbido de los servidores y los LEDs parpadeando alrededor.

—¿Y puedes saber desde dónde se conectó? —preguntó—. ¿Qué terminal, qué IP, qué persona?

—Eso es lo que estoy buscando —dijo Leire—. Pero hay una cosa más. —Se acercó a otro monitor, donde había abierto una línea de tiempo—. Las tres semanas. El martes en que despertaron la cuenta. Mire esto.

Irati miró la pantalla, donde Leire había marcado una fecha con un recuadro rojo.

—Tres semanas antes del ataque —dijo Leire—.

El martes en que la cuenta de servicio se despertó, fue el mismo día en que su mujer del contenedor presentó un segundo informe de accesos anómalos.

Esta vez no lo envió a su jefa: lo subió al sistema de auditoría con una copia a la Unidad de Protección de Datos.

Y el mismo día, por la tarde, pidió cita con la forense.

Irati sintió el frío bajarle por la columna.

—¿Cómo sabe eso?