Capítulo 6 — FALSE FLAG #2

—Hay una cosa más —dijo Leire, sin levantar la vista—.

La que no me cuadra de todo. —Abrió otra ventana—.

El borrado de Ane no fue un borrado normal.

No fue una cuenta de administración que elimina un archivo y se acabó.

Fue un borrado quirúrgico, con triple capa: primero se eliminó el informe del sistema de auditoría, luego se eliminó la copia de Protección de Datos, luego se purgaron los logs de las alertas que el sistema había generado cuando Ane subió el informe.

—Miró a Irati—. Eso no lo hace cualquiera.

Eso lo hace alguien que sabe exactamente qué registros genera el sistema cuando se sube un informe, qué copias se hacen, dónde se guardan, y cuánto tardan en purgarse.

Alguien que conoce el sistema por dentro, no por fuera.

—¿Y eso no lo hace el responsable técnico?

—Eso lo hacía el responsable técnico —dijo Leire—.

Pero el responsable técnico murió hace tres años.

Y el borrado de Ane se hizo hace tres semanas.

—Hizo una pausa—. O alguien heredó su conocimiento, o alguien aprendió a hacerlo tan bien como él.

Y en los dos casos, Irati, ese alguien está dentro de la red, con acceso a los sistemas de auditoría, con acceso a las copias, con acceso a los logs.

—La miró—. No estamos buscando a un hacker, Irati.

Estamos buscando a un empleado. A alguien que trabaja en el sistema, que conoce el sistema, y que ha estado borrando las huellas de una operación que lleva años montándose.

Irati se quedó un momento en silencio, con el zumbido de los servidores y las palabras de Leire girándole en la cabeza como piezas de un tablero que alguien estaba moviendo desde dentro.

Un empleado.

Alguien que trabaja en el sistema.

Alguien que conoce el sistema.

Alguien que, quizá, había trabajado en el sistema durante años, como Ane, pero en el lado de los que borran, no en el de los que vigilan.

—¿Y a esa persona —preguntó Irati—, se la puede localizar? ¿Saber quién es?

Leire la miró un momento, con los ojos rojos y el café muerto, y luego se volvió hacia el terminal.

—Se puede intentar —dijo—. Pero va a llevar tiempo.

—Hizo una pausa—. Y va a requerir mirar dentro de la red con una autorización que no tengo todavía.

—Miró a Irati—. Si queremos encontrar al empleado que borró a Ane, vamos a necesitar que su gente, la de Homicidios, pida el acceso oficial a los registros de administración de la red de Osakidetza.

Y eso, con la política metida por medio, no va a ser fácil.

Irati se quedó un momento en silencio, con la frase girándole en la cabeza y la certeza de que el caso, una vez más, acababa de ganar un obstáculo político.

—Lo pediré —dijo—. Hoy mismo. —Se levantó—. Y mientras tanto, vamos a mirar por donde no hace falta permiso. Por el monte. Por la nota. Por el camino que dejó Ane.

—¿El camino?

—El camino —dijo Irati—. El que dijo que dejó. Y que no se ha borrado, porque no estaba en la red. Estaba en el monte.

Leire la miró un momento, con una chispa de interés que antes no tenía.

—¿Y usted cree que el camino sigue ahí?

—Lo que se entierra, no se pierde —dijo Irati—. Espera.

II. El modelo

A las nueve de la mañana, en la oficina que la Legat de Bilbao tenía en el edificio del Consulado de los Estados Unidos, Jules Harlow cerró la puerta de su despacho y se sentó frente al ordenador con la sensación de que estaba a punto de cruzar una línea.

Llevaba toda la noche despierto. No había podido dormir después de la llamada a Irati: el patrón del ataque a la red de Osakidetza, la manipulación de los críticos, el cifrado de teatro, la ausencia de petición de rescate, todo le sonaba a algo que había visto antes, algo que llevaba años queriendo entender, algo que lo había perseguido desde Nueva York.

Cambio Healthcare.

El nombre le había salido solo, en la llamada, como le salen las cosas que llevan demasiado tiempo dentro.

Ahora tenía que demostrarlo: tenía que abrir el caso, releer los expedientes, y comprobar que el patrón de Bilbao era el mismo que el de la aseguradora americana.

Y tenía que hacerlo solo, porque el Legat no iba a autorizarle a bucear en un caso cerrado por un presentimiento.

Jules abrió el expediente del FBI que llevaba años archivado en su memoria y en los servidores de la Legat.

Cambio Healthcare: una de las mayores aseguradoras de salud del país, con más de ciento noventa millones de personas cubiertas.

Un ataque en 2024, una noche, un cifrado masivo, el ransomware del año, el pago de un rescate de veintidós millones de dólares, las semanas de caos, la reacción en cadena que se llevó por delante pagos a farmacias, hospitales y médicos de todo el país.

El mundo entero había mirado el cifrado, la petición de rescate, la negociación, el pago.

Y nadie, durante nueve días, había mirado lo que había pasado de verdad.

Jules había estado en aquel caso. No en la operación, no en la respuesta: había estado en la filtración, en el lado que miraba desde fuera, en el análisis de lo que se había llevado la operación cuando nadie miraba.

Y había visto algo que no pudo demostrar: que el cifrado había sido una cortina de humo.

Que los sistemas críticos, los que contenían los datos de millones de pacientes, no habían sido cifrados: habían sido tocados.

Y que los datos que se habían tocado eran los que nadie miraba: los de los pacientes oncológicos, los de los historiales psiquiátricos, los de las personas que tenían algo que esconder.

Nueve días sin detectar. Nueve días en que los atacantes habían tenido acceso a los datos de los pacientes más vulnerables del país, sin que nadie supiera qué habían mirado, qué habían copiado, qué se habían llevado.

Jules nunca pudo demostrarlo. El caso se cerró como un ransomware: la empresa pagó, el sistema se restauró, los culpables se atribuyeron el golpe y desaparecieron, y los datos, los que se habían tocado, nunca se supieron.

La filtración interna, la que él había rastreado, la que había llevado al testigo protegido Daniel Reyes a la muerte, era la prueba de que alguien había visto lo mismo que él: que el ataque no era lo que parecía.

Y esa filtración, esa misma filtración, era la que él seguía pagando con cada recuerdo de la noche en que el coche de Daniel Reyes explotó en un cruce de Nueva York.

Ahora, en Bilbao, con el patrón de Osakidetza abierto en la pantalla, Jules volvía a ver el mismo diseño. El cifrado de teatro. La manipulación de los críticos. La ausencia de petición de rescate. El colapso fabricado para que nadie mirara debajo.

—Esto lo replican a escala europea —dijo en voz baja, para nadie.

Se levantó, fue a la ventana y se quedó mirando la ría un momento, con la lluvia golpeando los cristales y la sensación de que estaba a punto de hacer algo que no debería hacer.

El teléfono sonó. Era una línea segura, de la Embajada, y la voz al otro lado era la de un analista de Washington que Jules conocía desde la época de Nueva York, un hombre gris que se llamaba a sí mismo «el que lee los expedientes que nadie quiere leer».

—Harlow —dijo el analista—. Me has pedido que mirara algo. Sobre la red de salud vasca.

—¿Y qué has visto?

—Lo que tú viste —dijo el analista—. Cambio Healthcare, en pequeño, con acento europeo.

El cifrado de teatro, la manipulación de los críticos, el colapso fabricado.

No hay petición de rescate, lo cual es lo más sospechoso de todo: el que monta un ransomware sin pedir rescate no quiere dinero.

Quiere que nadie mire lo que ha hecho mientras todo el mundo mira el teatro.

—Hizo una pausa—. Y hay algo más. —El sonido del teclado—.

El protocolo de notificación. La Unión Europea obliga a las entidades a notificar los incidentes cibernéticos en un plazo de setenta y dos horas, por el RGPD y por la directiva NIS2.

El hospital vasco que ha sufrido la brecha, el que ha notificado el incidente a la Agencia Vasca de Protección de Datos, no es el que dicen los periódicos.

Jules se volvió hacia la ventana, con el teléfono pegado a la oreja.

—¿Qué hospital notifica?

—Eso es lo interesante —dijo el analista—.

El que ha notificado no es el hospital de agudos que está en las noticias.

Es un centro de salud de zona, un centro de salud pequeño, de un municipio del interior, que ha notificado una brecha de datos de pacientes oncológicos.

—Hizo una pausa—. Los pacientes oncológicos, Harlow.

Los mismos que aparecían en el patrón de accesos que tú rastreaste en Cambio Healthcare.

Jules sintió el frío bajarle por la columna.

—¿Me das el nombre del centro?

—Te lo envío por el canal seguro —dijo el analista—.

Pero tú sabes lo que esto significa, ¿verdad?

—Hizo una pausa—. El que montó Cambio Healthcare ha montado lo mismo aquí, en una comunidad autónoma pequeña, en un sistema de salud público.

Y si el patrón es el mismo, el objetivo es el mismo: no robar, no destruir.

Fabricar un colapso para que nadie mire lo que se llevan de verdad.

Jules se quedó un momento en silencio, con la lluvia y la ría y el nombre del centro de salud girándole en la cabeza.

—¿Y qué se llevan? —preguntó, con una voz que sonó más baja de lo que esperaba.

—Eso —dijo el analista— es lo que nunca supimos en Cambio Healthcare.

Pero si me preguntas, Harlow, lo que se llevan siempre es lo mismo: los datos de la gente que tiene algo que esconder.

Y los datos de la gente que tiene algo que esconder, en manos de quien sabe usarlos, valen más que cualquier rescate.

—Hizo una pausa—. En los sistemas de salud, el que tiene los datos de los pacientes tiene el poder.

Y el que tiene el poder, no necesita pedir dinero. Lo pide cuando quiere, y como quiere.