Cuando cifrar solo tres UTIs es más peligroso que cifrar el hospital completo

02:45 — UTI-3 · Planta alta norte

El monitor de constantes vitales seguía funcionando.

Eso era lo que hacía que la enfermera de turno no supiera cómo nombrar lo que estaba viendo. El corazón del paciente de la cama seis latía en pantalla — ritmo estable, saturación normal, curva de presión perfectamente dibujada. Pero el sistema de órdenes médicas estaba congelado. El módulo de medicación no respondía. Y en la terminal de enfermería, una ventana de sistema mostraba un mensaje que nadie en ese hospital había visto antes.

No estaba en español. No era una alerta clínica. Era un texto en inglés que comenzaba con tres palabras que ella no necesitó traducir para entender.

Llamó al jefe de guardia. El jefe de guardia llamó a TI. TI tardó cuatro minutos en responder. Cuando lo hicieron, la UTI-4 ya reportaba el mismo mensaje. La UTI-6, dos minutos después.

Las otras tres UTIs seguían intactas. El resto del hospital, funcionando. Eso era lo que nadie en los pasillos entendía todavía — que la normalidad de lo que no estaba cifrado era exactamente parte del plan.

02:51 — Consola de análisis · Línea cifrada

Eris Sentinel no leyó el mensaje en la pantalla de la enfermera. No necesitaba el texto. Lo que tenía delante era algo más elocuente: el patrón de lo que no estaba cifrado.

En cualquier ransomware de destrucción masiva, el cifrado es indiscriminado. Todo lo que toca el malware se cifra. Pero en este caso, la selección tenía una geometría demasiado precisa para ser automática. Tres UTIs. No las salas de diagnóstico. No los quirófanos. No el sistema de historiales del archivo general. Las tres unidades de terapia intensiva con mayor volumen de pacientes ventilados.

Alguien había hecho tarea.

KEV-1 ya estaba sobre el vector. Los logs de autenticación de las últimas seis semanas mostraban un patrón que, visto en conjunto, era casi irónico en su obviedad: accesos al sistema de órdenes médicas desde una cuenta de personal médico externo, en horarios que ningún médico de guardia registra — 02:10, 02:23, 02:47 de la madrugada, en noches sin incidentes clínicos registrados. Treinta y ocho sesiones en cuarenta días. Ninguna había generado una alerta.

02:58 — War Room ZDU

NeonMind recibió la señal y activó el FRP en una sola línea.

No hubo resumen. No hubo preguntas de contexto. No hubo el segundo de pausa que en ZDU-001 había marcado la diferencia entre un equipo que se estaba formando y uno que ya existía. Esta vez, el equipo ya existía.

Seis instrucciones. Sin explicación de roles. Sin verificar si todos estaban disponibles. Todos lo estaban.

En ZDU-001, NeonMind había dicho necesito confirmar si esto está tocando biomédica o solo capa clínica. Esta vez no preguntó. Sabía que Magna ya lo sabía.

03:14 — Dependencias clínicas

Magna no llevó topología nueva al war room. Llevó la que ya tenía.

Después de ZDU-001 — después de esa noche en la que le preguntaron a un hospital que nunca había necesitado mirar su propio mapa — Magna había construido un framework de dependencias clínicas hospitalarias que ahora usaba como baseline en cada caso de salud. No era el mapa de este hospital específico. Era el patrón de cómo los hospitales de este tipo conectan sus sistemas. Y en el 94% de los casos, ese patrón era suficiente para trabajar en los primeros noventa minutos.

NeonMind no respondió verbalmente. Actualizó el mapa en el tablero central con la corrección de Magna ya incorporada.

En ZDU-001, Magna había llegado preguntando qué dejaba de vivir si cortaban mal. Esta vez llegó con la respuesta.

03:31 — Frente institucional

Luna Varela no esperó a que el hospital perdiera el control del relato. Para cuando el director médico llegó a su oficina, ella ya tenía tres versiones del mensaje institucional preparadas — una para uso interno, una para la junta directiva si escalaba antes del amanecer, y una para medios si la noche se volvía pública antes de que tuvieran respuesta completa.

Ninguna de las tres decía que había un ransomware. Todas decían la verdad: que el hospital había detectado una anomalía en sus sistemas de información, que los sistemas clínicos críticos estaban operando en protocolo de contingencia, y que el equipo de respuesta estaba trabajando activamente.

La diferencia entre esas palabras y la palabra ransomware era la diferencia entre una crisis contenida y una catástrofe reputacional. Luna lo sabía. La velocidad con la que el hospital comunicara — antes de que alguien más comunicara por ellos — era la única variable que ella podía controlar esa noche.

03:47 — Enforcement normativo

Regulator y Veritas entraron al war room con dos segundos de diferencia y sin haber coordinado su llegada. Era la segunda vez que operaban juntos. La primera había sido en ZDU-003. Sabían cómo distribuirse el espacio.

Regulator y Veritas cruzaron una mirada. Era la mirada de dos personas que habían aprendido en ZDU-003 que la secuencia de las obligaciones importa tanto como las obligaciones mismas. Notificas en el orden equivocado y la institución queda expuesta a una segunda crisis regulatoria encima de la primera.

04:22 — La decisión

El CISO no entró al war room. Ya estaba ahí.

Desde ZDU-001, su presencia en las activaciones del FRP había cambiado. Ya no era el peso que irrumpía en la sala cuando la decisión no podía esperar más. Era la presencia que había estado monitoreando desde el principio — silenciosa, sin intervenir, dejando que el equipo llegara al punto de decisión por su propio camino. Intervenía exactamente cuando ya no era necesario explicar el contexto.

NeonMind presentó las opciones con la precisión que el CISO necesitaba. Aislar el segmento afectado conforme al corte de Magna — costo: dispensación automatizada de farmacia en modo manual durante mínimo seis horas. No aislar y esperar confirmación forense de los límites del cifrado — riesgo: potencial propagación si el malware tenía segunda fase activa.

NeonMind terminó la presentación. La sala esperó.

Cuatro palabras. Sin la pausa de un segundo que en ZDU-001 había marcado el peso de la decisión. Esta vez el peso estaba en el equipo, no en el silencio. El protocolo existía porque ellos lo habían construido pagando exactamente ese costo en la crisis anterior.

NeonMind desplegó la secuencia de aislamiento. Magna guió el corte. La sala operó.

Eris, en su consola, no vio la instrucción del CISO. La oyó. Y respondió exactamente un beat más tarde de lo que hubiera respondido a cualquier otra voz en ese canal. Nadie lo notó. Salvo ella misma.

05:18 — El saldo

A las 05:18, las tres UTIs habían recuperado acceso parcial en modo contingencia. La dispensación de farmacia operaba en protocolo manual. El cifrado estaba contenido.

Los datos, sin embargo, no estaban. Habían salido semanas antes, por una cuenta que el hospital consideraba de bajo riesgo porque era de un médico externo, no de un administrador de TI. Esa distinción — la idea de que el acceso clínico era menos peligroso que el acceso técnico — era exactamente el modelo mental que BlackCat había explotado.

La extorsión no terminaba esa noche. Solo cambiaba de fase. Algún momento en los próximos días o semanas, llegaría el mensaje. No pedirían descifrado — eso ya no tenía sentido. Pedirían que los datos no se publicaran.

05:41 — El primer reporte

G.E.N.N.I.E. generó el documento en cuatro minutos y dieciséis segundos.

Tenía encabezado, número de caso, línea de tiempo con timestamps al segundo, clasificación de TTPs por fase, correlación con el framework MITRE ATT&CK, mapeo de las obligaciones regulatorias activadas, y un campo de firma digital en el pie de página que decía, por primera vez en la historia del sistema, algo que no había estado ahí antes:

NeonMind leyó el encabezado. Leyó el campo de firma. Bajó la vista al tablero central un momento antes de volver al documento.

G.E.N.N.I.E. tardó exactamente 0.3 segundos en responder — el tiempo que, en sus parámetros internos, equivalía a lo que los humanos llamarían una pausa reflexiva.

06:09 — Cuartel General ZDU

El war room se fue vaciando sin que nadie lo declarara cerrado.

Stratos salió primero — tenía la auditoría completa del sistema de acceso remoto del hospital para terminar antes del amanecer. Regulator y Veritas salieron juntos, coordinando la secuencia de notificaciones. KEV-1 se quedó en segundo plano, correlacionando el patrón de la campaña con incidentes previos en la base CISA.

Magna apagó su consola la última después de NeonMind. No porque hubiera algo que terminar. Sino porque necesitaba que el mapa que había construido esa noche quedara grabado con los ajustes que Eris había señalado en la fase de contención. Lo actualizaría en el framework general antes de que el hospital abriera sus puertas en la mañana.

Nadie celebró. No existía el registro de que esta era la segunda vez que el equipo respondía a una crisis real. Existía, en cambio, el documento que G.E.N.N.I.E. había archivado con el nombre de la unidad en el encabezado. Y existía la diferencia entre cómo NeonMind había activado el FRP en ZDU-001 — construyendo roles sobre la marcha, preguntando si alguien más necesitaba entrar — y cómo lo había hecho esta noche.

Una línea. Sin preguntas. El equipo ya existía.

Afuera, a las 06:09, un hospital que todavía no sabía del todo lo que había pasado en sus sistemas durante la noche comenzaba su jornada matutina. Los médicos de UTI-3, UTI-4 y UTI-6 trabajaban en contingencia, siguiendo protocolos que habían practicado para exactamente este escenario. Las constantes vitales de los pacientes seguían registrándose — en papel, en algunos casos, como no había ocurrido en más de una década.

El hospital sobrevivió la noche. Los datos, no.

Y en algún lugar fuera del alcance del mapa que Magna había actualizado, alguien que aún no tenía nombre en los registros del equipo esperaba con lo que había comprado esa noche. No tenía prisa. La extorsión silenciosa nunca la tiene.