Ciberseguridad en el ámbito de la salud: Cómo proteger a pacientes y organizaciones
Table of Contents
El creciente número de ciberataques y la criticidad de los servicios que prestan los hospitales y otras organizaciones hacen que sea fundamental fortalecer la ciberseguridad en el ámbito de la salud
¿Cómo funciona un hospital si un incidente de seguridad imposibilita el uso de sus sistemas informáticos? Sobre esta premisa gira una de las tramas de la segunda temporada de The Pitt, una de las series más vistas de los últimos años, que está ambientada en el servicio de urgencias de un hospital estadounidense. Esta ficción visibiliza la parálisis que puede provocar un ciberataque contra un hospital y el desafío que supone atender a los pacientes teniendo que volver al papel y al bolígrafo.
Pero no hace falta recurrir a la ficción para abordar las consecuencias de no fortalecer la ciberseguridad en el ámbito de la salud. En los últimos años se han multiplicado los ataques contra organizaciones de este sector crítico: hospitales, farmacéuticas, aseguradoras sanitarias, productores de dispositivos médicos IoT…
En España, el incidente más tristemente célebre lo protagonizó uno de los hospitales públicos más importantes del país. Tras un ataque de ransomware contra sus sistemas, el centro tuvo que operar de forma analógica durante días, cancelar intervenciones y derivar a pacientes de urgencias a otros hospitales. Además, los actores maliciosos detrás del incidente exfiltraron 4,5 TB de información en la Dark Web.
Una investigación posterior de la Autoridad Catalana de Protección de Datos concluyó que el hospital carecía de medidas de seguridad para llevar a cabo una prevención mínima frente a los ciberataques.
Este caso evidencia que reforzar la ciberseguridad en el ámbito de la salud es una cuestión crítica que debe formar parte de las estrategias de las organizaciones que operan en el sector.
A continuación, vamos a repasar el panorama de amenazas y a destacar cómo se puede fortalecer la ciberseguridad del sector sanitario para incrementar la ciberresiliencia de las organizaciones y proteger a los pacientes.
¿Qué buscan los actores maliciosos al atacar a las organizaciones del sector sanitario?
Según la ENISA, la agencia de la UE para la ciberseguridad, el sector sanitario es el más afectado por incidentes significativos. Además, esta agencia hizo público que el 54% de los incidentes son provocados por ataques de ransomware.
¿A qué se debe que los actores maliciosos lancen cada vez más ciberataques contra el sector de la salud?
- Las organizaciones sanitarias manejan grandes volúmenes de información especialmente sensible: historiales médicos de los pacientes, información financiera, propiedad intelectual e industrial… Esta información se puede monetizar:
- Comercializando los datos de pacientes o profesionales en la Dark Web. De hecho, la información de índole médica tiene un valor notablemente superior en el mercado negro.
- Usándolas para lanzar campañas fraudulentas o robar identidades de las personas cuyos datos han sido sustraídos.
- Extorsionando a las organizaciones atacadas.
- Vendiendo la propiedad intelectual o industrial a compañías de la competencia.
- Los sistemas informáticos son esenciales para las organizaciones sanitarias y, especialmente, para los hospitales. Sin ellos supone un enorme desafío prestar la atención médica a los pacientes. De tal forma que los ataques pueden provocar incidentes graves que afecten a la operatividad de las organizaciones. Lo que en el caso del sector sanitario puede repercutir en la salud de los pacientes y poner en riesgo su propio bienestar.
- Muchas organizaciones no cuentan con una estrategia de ciberseguridad en el ámbito de la salud lo suficientemente robusta y destinan un presupuesto limitado a esta área. De tal forma que son targets más fáciles para los actores maliciosos que organizaciones de otros sectores donde se destinan más recursos a fortalecer su postura de ciberseguridad.
- El uso de software y hardware desactualizado o que ha llegado al fin de su ciclo de vida abre las puertas a que los actores maliciosos detecten y exploten vulnerabilidades no parcheadas.
- El bajo nivel de concienciación de las plantillas y de los cargos directivos de las organizaciones sobre los riesgos de ciberseguridad.
Cuáles son las principales amenazas de ciberseguridad en el ámbito de la salud
Las grandes amenazas para la ciberseguridad en el ámbito de la salud son:
- Los ataques de ransomware. Como ya apuntamos antes, la mitad de los incidentes tienen su origen en el uso de esta clase de software malicioso para secuestrar los datos de las organizaciones.
- Las violaciones y filtraciones de datos tras lograr acceder a los sistemas de las organizaciones usando técnicas de ingeniería social.
- Los ataques de cadena de suministro, explotando vulnerabilidades presentes en el hardware o en el software de los proveedores IT.
- Los ataques de denegación de servicio distribuido (DDoS) para menoscabar la disponibilidad de los sistemas.
Esta clase de amenazas pueden materializar dos de los grandes riesgos a los que se enfrenta el sector sanitario:
- El acceso a información médica de los pacientes.
- La interrupción de la asistencia sanitaria.
¿Qué organizaciones están en el punto de mira de los actores maliciosos?
Se estima que se producen más de 2.400 ataques a la semana contra organizaciones del sector sanitario y este dato va en aumento. Además, no solo aumentan los ataques contra hospitales, sino también contra laboratorios, autoridades sanitarias o farmacéuticas. Por eso, la ciberseguridad en el ámbito de la salud afecta a un amplio abanico de organizaciones:
- Sistemas de salud públicos. El caso que abordamos al inicio de este artículo sobre ciberseguridad en el ámbito de la salud evidencia que los actores maliciosos tienen en su punto de mira a los sistemas públicos de salud. Tal es así que el director ejecutivo del NHS, el sistema sanitario británico, ha avisado de que el riesgo de sufrir ciberataques se está acelerando dramáticamente. De hecho, en 2026 un hospital público polaco tuvo que volver al papel ante la imposibilidad de acceder a sus sistemas IT a causa de un incidente. Mientras que el organismo público que gestiona las donaciones en Francia sufrió recientemente ataques en varios de sus bancos de sangre, que afectaron a sus equipos de refrigeración.
- Hospitales. A principios de 2026, un ataque de ransomware causó una disrupción de los sistemas IT de un hospital belga y lo obligó a derivar a pacientes críticos a otros centros. Meses después, otro ataque provocó que una organización estadounidense tuviese que cerrar diez de sus centros en Carolina del Sur.
- Laboratorios. En octubre de 2026 la policía alemana detuvo a una persona vinculada al grupo criminal que en 2024 había lanzado un ciberataque contra el laboratorio a cargo de los análisis de sangre de múltiples hospitales de Londres. El incidente afectó a todo el sistema sanitario de la ciudad y fue clave en la muerte de un paciente.
- Farmacéuticas. En agosto de 2026, una compañía farmacéutica que suministra un tercio de los medicamentos con receta a hospitales y farmacias en Estados Unidos y Canadá notificó un incidente de seguridad que afectó a sus sistemas de información. Además, confirmó que los atacantes habían logrado sustraer datos de sus unidades de Oncología y Médico-Quirúrgica. Unas semanas antes otra multinacional había hecho público un incidente que había afectado a información relacionada con los pacientes que participan en sus ensayos clínicos.
- Aseguradoras sanitarias. En 2024 una de las principales aseguradoras sanitarias de Estados Unidos sufrió un ataque de ransomware que afectó a los procesos de facturación y autorización de tratamientos, repercutió en la mayoría de hospitales del país y se saldó con el acceso a información sanitaria sensible de 190 millones de personas. De hecho, en octubre de 2026 el Senado estadounidense aprobó una Ley de ciberseguridad sanitaria para evitar incidentes como este, exigiendo la adopción de medidas de protección por parte de las organizaciones del sector.
- Proveedores de dispositivos médicos IoT y software médico. En julio de 2026, una multinacional especializada en el desarrollo de tecnología médica informó de que estaba investigando dos incidentes relacionados con accesos no autorizados a los sistemas de su unidad de diagnóstico de cáncer y a un portal empleado por su división de diagnóstico de laboratorio. Unas semanas después se confirmó que otra compañía que provee software-as-a-service a hospitales y centros médicos, había sufrido un incidente en el que habían quedado expuestos datos de 9,5 millones de pacientes, incluyendo información médica.
- Compañías tecnológicas que desarrollan tratamientos. En septiembre de 2026, una compañía que ha desarrollado un tratamiento oncológico no invasivo sufrió un incidente en el que se vieron expuestos datos de 1.400 pacientes.
Estos son solo algunos de los ejemplos que evidencian la importancia de fortalecer la ciberseguridad en el ámbito de la salud.
NIS2, RGPD, MDR… Fortalecer la ciberseguridad en el ámbito de la salud es una obligación
Como venimos de apuntar, en Estados Unidos acaba de aprobarse una ley para reforzar la ciberseguridad en el ámbito de la salud, pero ¿qué sucede en la Unión Europea?
En los últimos años se han ido aprobando normativas que buscan fortalecer la ciberseguridad en el ámbito de la salud y asegurar que las organizaciones del sector son resilientes frente a los ataques. ¿De qué normas hablamos?
- La directiva NIS2 incluye a la salud dentro de su catálogo de sectores críticos. Lo que implica que las organizaciones del sector están obligadas a implementar una estrategia de seguridad que les permita analizar riesgos, gestionar vulnerabilidades e incidentes, prevenir ataques de cadena de suministro o notificar incidentes.
- El RGPD impone a las compañías y administraciones el deber de contar con medidas de seguridad para evitar el acceso indebido a datos personales. Habida cuenta de lo sensibles que son los datos médicos, la protección de los mismos es crucial y las organizaciones que no sean capaces de salvaguardarlos se exponen a cuantiosas multas. Por ejemplo, en septiembre de 2026 un hospital francés fue multado con 500.000€ por una brecha de datos que afectó a más de 700.000 pacientes.
- El reglamento MDR sobre productos sanitarios fija los requisitos de ciberseguridad de los dispositivos médicos.
¿Cuáles son los beneficios de fortalecer la ciberseguridad en el ámbito de la salud?
Disponer de una estrategia de ciberseguridad en el ámbito de la salud es clave para:
- Llevar a cabo análisis de riesgos para adoptar medidas adaptadas a ellos y que resulten eficaces a la hora proteger los sistemas de una organización y la información de los pacientes.
- Detectar vulnerabilidades presentes en su infraestructura tecnológica, teniendo en cuenta los dispositivos y software de proveedores para prevenir ataques de cadena de suministro.
- Gestionar las vulnerabilidades y priorizar su remediación en función del impacto que pueden tener para la organización.
- Formar a las plantillas para prevenir que sean víctimas de campañas de ingeniería social y deepfakes.
- Contar con un plan de respuesta a incidentes sólido y testeado para actuar desde el primer minuto y limitar el impacto de un ataque, salvaguardando la continuidad de la atención médica.
- Cumplir con todas las exigencias normativas sobre ciberseguridad en el ámbito de la salud y protección de datos. Así como evitar cuantiosas sanciones y conflictos legales.
¿Cómo implementar una estrategia de ciberseguridad en el ámbito de la salud?
Para diseñar y optimizar una estrategia de ciberseguridad en el ámbito de la salud es de vital importancia contar con servicios como:
- Auditorías de seguridad de los sistemas informáticos y los dispositivos IoT para identificar debilidades que puedan ponerlos en riesgo.
- Gestión de vulnerabilidades para agilizar y priorizar la mitigación de las debilidades encontradas y evitar que sean explotadas con éxito por los actores maliciosos.
- Pruebas DoS que permitan comprobar los niveles de saturación de los servicios expuestos a internet y la capacidad de los sistemas backend para hacer frente a cargas masivas, de cara a evitar la caída de los servicios.
- Test de ingeniería social para simular campañas de phishing realistas, comprobar la capacidad de la plantilla de una organización para detectarlas y formar y concienciar a todos los profesionales.
- Pentesting. Mediante la realización de test de intrusión avanzados se simulan ataques reales en entornos controlados. ¿Con qué fin? Identificar vulnerabilidades críticas que podrían ser explotadas por los actores maliciosos para robar datos médicos de pacientes, provocar la caída de los sistemas informáticos de una organización, instalar ransomware u otro programa malicioso o acceder de forma indebida a información confidencial y de alto valor.
- Respuesta a incidentes proactiva. La realización de simulacros de incidentes y análisis de amenazas permiten a las organizaciones mejorar su eficiencia a la hora de gestionar incidentes e identificar a los actores de amenazas. Además, mediante un servicio de respuesta a incidentes proactivo se puede elaborar y actualizar un plan de incidente response que permita responder ante cualquier ataque con la máxima celeridad, identificar el alcance del compromiso, expulsar al actor malicioso, garantizar la operatividad de los servicios y recuperar la normalidad en el menor tiempo posible.
En definitiva, ante un panorama de amenazas cada vez más desafiante, la ciberseguridad en el ámbito de la salud se ha convertido en una cuestión estratégica para las organizaciones públicas y privadas del sector sanitario.
Proteger la información médica de los pacientes y garantizar la continuidad de la asistencia sanitaria es de vital importancia no solo para las organizaciones involucradas, sino para el conjunto de la sociedad.
Los incidentes de seguridad más graves pueden provocar daños económicos y reputacionales severos, conllevar repercusiones legales y llegar a afectar a la salud de las personas.
Por eso, es fundamental invertir en ciberseguridad en el ámbito de la salud, optimizar continuamente las medidas de protección y fortalecer la resiliencia frente a los incidentes de seguridad.