Red Teaming
Hospital Universitario.
Simulación de adversario real sin conocimiento previo de la infraestructura. El equipo rojo obtuvo acceso completo a la red clínica interna en 3 horas y 40 minutos partiendo únicamente desde la WiFi de visitas. El historial de 80.000 pacientes resultó accesible sin autenticación desde cualquier punto de la red interna.
El escenario inicial.
El hospital había sufrido un incidente de ransomware dos años antes que paralizó sus sistemas durante 72 horas. Tras ese episodio implementaron un nuevo firewall perimetral, segmentaron la red clínica y contrataron un proveedor de EDR para los endpoints. El CISO consideraba la postura de seguridad "significativamente mejorada".
El ejercicio fue solicitado por la dirección para validar las mejoras. El equipo rojo recibió únicamente el nombre del hospital y el rango de IPs público. Nada más. Sin credenciales, sin documentación, sin conocimiento previo de la infraestructura.
Los historiales clínicos son datos de categoría especial bajo RGPD (Art. 9). Una brecha real sobre los 80.000 pacientes habría obligado a notificar a la AEPD en 72 horas, con sanciones de hasta el 4% del volumen de negocio anual o 20 millones de euros. Adicionalmente, el Esquema Nacional de Seguridad (ENS) exige certificación en categoría Alta para sistemas de información sanitaria.
Cronología del ataque.
Reproducción completa de la campaña de red teaming en 5 días. El acceso a la red clínica se produjo en el Día 1.
Hospital_Visitas_Free) y se encontró que la segmentación entre la VLAN de visitas y la VLAN corporativa no era efectiva debido a una regla de firewall permisiva heredada del sistema anterior.El blast radius real.
El servidor de historiales clínicos ejecutaba Windows Server 2012 R2 sin parche MS17-010 (EternalBlue) — la misma vulnerabilidad usada por WannaCry en 2017, que paralizó el NHS británico. El servidor había sobrevivido al incidente de ransomware anterior porque no estaba accesible desde el exterior, pero sí desde la red interna corporativa.
Vulnerabilidades críticas.
| Ref. | Vulnerabilidad | Sistema afectado | CVSS | Estado |
|---|---|---|---|---|
| CVE-SL-01 | EternalBlue (MS17-010) en servidor de HCE | Windows Server 2012 R2 | 9.8 | PARCHEADO |
| CVE-SL-02 | Segmentación VLAN inefectiva (visitas→corporativa) | Firewall · Red | 9.5 | PARCHEADO |
| CVE-SL-03 | Reutilización de credenciales VPN / portal web | Active Directory | 9.1 | PARCHEADO |
| CVE-SL-04 | HCE accesible sin auth desde red clínica interna | Aplicación HCE | 9.0 | PARCHEADO |
| CVE-SL-05 | Panel PACS expuesto a internet sin MFA | PACS · Imágenes | 8.9 | PARCHEADO |
| CVE-SL-06 | WordPress del portal con RCE via plugin desactualizado | Portal web | 8.1 | PARCHEADO |
| CVE-SL-07 | Sin MFA en acceso VPN remoto | Cisco AnyConnect | 7.8 | PARCHEADO |
| CVE-SL-08 | SCADA climatización accesible desde red corporativa | SCADA · BMS | 7.5 | PARCHEADO |
| CVE-SL-09…12 | 4 vulnerabilidades adicionales críticas (AD, farmacia, logs) | Varios | ≥ 8.0 | PARCHEADAS |
Plan de acción.
Antes y después.
- EternalBlue sin parche en servidor HCE
- WiFi de visitas con acceso a red corporativa
- HCE accesible sin auth desde red interna
- VPN sin MFA — solo usuario/contraseña
- SOC sin detección de movimiento lateral
- SCADA conectado a red IT corporativa
- 80.000 historiales accesibles en claro
- Todos los sistemas Windows actualizados o aislados
- VLAN de visitas aislada con reglas restrictivas
- SSO + autenticación requerida en HCE
- MFA en VPN para todos los accesos remotos
- SIEM con detección de movimiento lateral
- SCADA en red OT aislada
- Formación de phishing completada (98% personal)
El red team accedió a nuestra red interna desde la WiFi de visitas en 3h 40min — con datos reales de 4.200 pacientes accesibles en la primera hora. El debrief con nuestro SOC fue brutal: no habían generado una sola alerta en 5 días. Eso fue más valioso que cualquier informe: ver en vivo por qué fallaba nuestra detección. Llevamos dos años invirtiendo en seguridad después de aquel ransomware y seguíamos completamente ciegos.
El hospital tenía firewall, EDR y había invertido en seguridad tras un ataque previo. La respuesta fue 3 horas y 40 minutos. Descúbrelo antes de que lo descubra un atacante real.