El coste de los ciberataques en el sector sanitario y cómo prevenirlos

Las organizaciones sanitarias han acelerado la transformación digital en ámbitos como las historias clínicas electrónicas, los dispositivos médicos conectados, la telesalud, los procesos de gestión de seguros y los servicios basados en la nube. Esta digitalización mejora el acceso a la atención sanitaria y la eficiencia operativa, pero también amplía la superficie de ataque.

El coste de los ciberataques en el sector sanitario es especialmente elevado, ya que un solo incidente puede afectar a algo más que a los sistemas informáticos. Los ciberataques pueden retrasar los tratamientos, interrumpir la gestión de recetas y reclamaciones de seguros, exponer información sanitaria protegida (PHI), dar lugar a obligaciones legales y minar la confianza de los pacientes. Esta entrada del blog explica por qué estos ataques son tan peligrosos, qué factores influyen en los costes de los ciberataques en el sector sanitario y qué medidas de prevención y recuperación pueden reducir su impacto.

Di «no» a los rescates con NAKIVO

Utiliza backups para recuperar rápidamente los datos después de un ataque de ransomware. Múltiples opciones de recuperación, almacenamiento local y en la nube inmutable, análisis de malware en los backups y mucho más.

DESCUBRE LA SOLUCIÓN

Por qué los ciberataques en el sector sanitario son tan peligrosos

Las organizaciones sanitarias operan con un perfil de riesgo diferente al de la mayoría de los sectores. Cuando los sistemas fallan en el comercio minorista, las finanzas o la industria manufacturera, las consecuencias principales suelen ser financieras u operativas. En el sector sanitario, el tiempo de inactividad puede afectar a las decisiones clínicas, la respuesta ante emergencias y los resultados de los pacientes.

Los hospitales y las clínicas dependen de sistemas interconectados para coordinar la atención sanitaria, entre los que se incluyen las historias clínicas electrónicas (EHR), los registros médicos electrónicos (EMR), los sistemas de laboratorio, las plataformas de diagnóstico por imagen, las herramientas de dispensación de medicamentos y los dispositivos conectados, como respiradores, bombas de infusión, máquinas de resonancia magnética (RM) y monitores cardíacos. Si un malware inutiliza un sistema crítico, la interrupción puede extenderse a todos los departamentos.

Los ciberataques en el sector sanitario pueden provocar:

• Cirugías con retraso o canceladas
• Desvíos de ambulancias
• Acceso interrumpido a los historiales digitales de los pacientes
• Retrasos en los diagnósticos y los resultados de laboratorio
• Retrasos en la dispensación de medicamentos
• Flujos de trabajo manuales que ralentizan a los equipos clínicos

Los datos sensibles de los pacientes también aumentan lo que está en juego. Los historiales médicos pueden incluir detalles de identidad, números de seguro, historial médico, recetas, información de facturación y detalles de contacto de familiares. Los atacantes pueden utilizar esta información para el robo de identidad, el fraude a las aseguradoras, la prescripción ilegal de medicamentos y ataques posteriores más convincentes.

El tiempo de inactividad agrava estos riesgos. Cuando el personal recurre a historiales en papel, órdenes manuales y coordinación fuera de línea, todo el centro se ralentiza. El impacto en la seguridad de los pacientes es lo que hace que las amenazas de ciberseguridad en el sector sanitario sean más graves que muchos otros riesgos empresariales.

El coste real de los ciberataques en el sector sanitario

Los costes de los ciberataques en el sector sanitario van mucho más allá de las demandas de rescate. El impacto total puede incluir la respuesta ante incidentes, la recuperación de datos, el tiempo de inactividad operativa, la interrupción de la actividad clínica, la exposición a riesgos normativos, los litigios, el daño a la reputación y las medidas correctivas de seguridad a largo plazo.

El coste de las filtraciones de datos en el sector sanitario sigue siendo uno de los más elevados de todos los sectores. El informe «IBM 2025» Informe sobre el coste de una filtración de datos sitúa al sector sanitario como el más costoso en cuanto a filtraciones por decimocuarto año consecutivo, con un coste medio por filtración de 7,42 millones de dólares y un plazo medio de identificación y contención de 279 días.

El coste de los ciberataques en el sector sanitario suele incluir:

• Costes directos de respuesta: Análisis forense, asistencia de ciberseguridad de emergencia, contención, eliminación de malware, reconstrucción de sistemas y recuperación de datos.
• Interrupción operativa: citas canceladas, facturación con retraso, procedimientos aplazados, reducción de la capacidad clínica y horas extras para los equipos de recuperación.
• Impacto clínico: diagnósticos con retraso, interrupciones en la prescripción de medicamentos, desvío de ambulancias y ralentización en la admisión de pacientes.
• Riesgos normativos y legales: notificación de violaciones de seguridad, investigaciones sobre privacidad, posibles sanciones y demandas judiciales.
• Presión por rescates y extorsión: exigencias de pago para el descifrado, la no divulgación de los datos robados o ambas cosas.
• Daño a la reputación: pérdida de pacientes, inquietudes de los socios y menor confianza por parte de los médicos remitentes o las entidades pagadoras.

El coste de los ataques de ransomware en el sector sanitario puede ser especialmente grave, ya que los atacantes suelen combinar el cifrado con el robo de datos. Incluso si una organización paga, no hay garantía de que los sistemas se restablezcan rápidamente ni de que los datos robados no se filtren más adelante. Pagar también fomenta nuevos ataques y no debe sustituir a una estrategia de recuperación probada.

Los costes de la prevención suelen ser más predecibles que los de la recuperación después de un incidente grave. Los controles de seguridad, la infraestructura para hacer backup de datos, las pruebas, la supervisión de los proveedores y la formación del personal requieren inversión, pero pueden reducir el tiempo de inactividad, limitar el movimiento lateral y facilitar una restauración más rápida cuando se produce un incidente.

Ejemplos reales de ciberataques en el sector sanitario

Los siguientes incidentes muestran cómo los ciberataques al sector sanitario pueden perturbar la infraestructura nacional, la prestación de asistencia regional y la protección de los datos de los pacientes.

Ataque a Change Healthcare (2024)

El Ataque a Change Healthcare se convirtió en uno de los ciberataques al sector sanitario con mayores repercusiones en Estados Unidos. En febrero de 2024, unos atacantes asociados con ALPHV/BlackCat obtuvieron acceso utilizando credenciales comprometidas y un portal de acceso remoto que carecía de autenticación multifactorial (MFA). Change Healthcare confirmó posteriormente una interrupción de la red que afectó a la tramitación de reclamaciones, las transacciones farmacéuticas y otros servicios de backend en todo el sistema sanitario.

La estimación del impacto de la filtración aumentó después de la redacción del borrador original. En agosto de 2025, la lista de filtraciones del Departamento de Salud y Servicios Humanos de EE. UU. indicaba que el incidente había afectado a aproximadamente 192,7 millones de personas, lo que lo convierte en la mayor filtración de datos sanitarios registrada en Estados Unidos hasta la fecha. Se cree que la información filtrada incluía números de identificación de los asegurados, diagnósticos de pacientes, información sobre tratamientos, números de la Seguridad Social y códigos de facturación.

La empresa pagó un rescate de 22 millones de dólares, pero los informes públicos y los testimonios demostraron que el pago no eliminó la carga que supuso la recuperación ni el riesgo de exposición de los datos. Los proveedores se enfrentaron durante meses a problemas de liquidez, retrasos en la tramitación de reclamaciones, interrupciones en la dispensación de recetas y atascos administrativos.

Interrupciones del NHS por ransomware

El Servicio Nacional de Salud del Reino Unido (NHS) ha sufrido múltiples incidentes cibernéticos que ponen de manifiesto cómo el ransomware puede afectar a la prestación de asistencia sanitaria a gran escala. Durante el ataque de WannaCry de 2017, se vieron afectados al menos 81 consorcios del NHS y 603 centros de atención primaria y otras organizaciones del NHS. NHS England identificó 6.912 citas canceladas y estimó que, en total, se habrían cancelado más de 19.000 citas. El Departamento de Salud y Asistencia Social estimó posteriormente el coste en 92 millones de libras esterlinas, incluyendo la pérdida de productividad y los costes de recuperación de los sistemas informáticos.

Más recientemente, el Ataque de ransomware de junio de 2024 contra Synnovis, una empresa que colabora con los principales hospitales de Londres, provocó importantes trastornos en los análisis de sangre y otros servicios de patología. NHS England informó de la cancelación de citas y operaciones en el sureste de Londres, y Synnovis declaró que el ataque redujo su capacidad para procesar muestras.

Estos incidentes demuestran que los riesgos de ciberseguridad en el sector sanitario van más allá de los hospitales individuales. Un único recurso compartido, proveedor de servicios de patología o proveedor de tecnología puede perturbar la atención sanitaria en múltiples organizaciones.

Fuga de datos de SingHealth

La Fuga de datos de SingHealth en 2018 en Singapur demuestra que los ciberataques en el sector sanitario no se limitan al ransomware y al tiempo de inactividad. Los atacantes sustrajeron datos personales de unos 1,5 millones de pacientes que acudieron a las clínicas ambulatorias especializadas y policlínicas de SingHealth entre mayo de 2015 y julio de 2018. También accedieron a los registros de los medicamentos dispensados a unos 160 000 pacientes.

El Ministerio de Sanidad de Singapur informó de que no se vieron comprometidos los detalles de los diagnósticos, los resultados de las pruebas ni las notas de los médicos, y que los servicios sanitarios no se vieron interrumpidos. Aunque no se produjeron interrupciones operativas, el incidente sigue siendo un ejemplo significativo del valor que tienen los datos sanitarios para los atacantes sofisticados.

Los ciberataques más comunes dirigidos al sector sanitario en la actualidad

Las amenazas a la ciberseguridad en el sector sanitario suelen aprovechar los mismos puntos débiles que se encuentran en otros sectores: Credenciales, correo electrónico, sistemas sin parches, accesos con privilegios excesivos y dependencias de terceros. La diferencia radica en que los entornos sanitarios son más difíciles de asegurar, ya que combinan sistemas heredados, requisitos de disponibilidad clínica, dispositivos médicos conectados y datos confidenciales de los pacientes.

Ransomware

El ransomware sigue siendo una de las amenazas más dañinas para los sistemas sanitarios. Ransomware como servicio El «RaaS» (Ransomware como servicio) ha reducido las barreras para los atacantes, mientras que las tácticas de doble extorsión aumentan la presión al combinar el cifrado con el robo de datos.

Un ataque típico ransomware en el sector sanitario puede incluir los siguientes pasos:

1. Obtener acceso inicial mediante phishing, credenciales robadas, servicios de red privada virtual (VPN) o protocolo de escritorio remoto (RDP) expuestos, o servidores sin parches.
2. Escalar privilegios y desplazarse lateralmente por la red.
3. Desactivar herramientas de seguridad, eliminar copias de sombra o atacar copias de backup.
4. Cifrar datos en servidores, sistemas de historias clínicas electrónicas (EHR/EMR), recursos compartidos de archivos, sistemas de imágenes o cargas de trabajo conectadas.
5. Exigir un pago a cambio del descifrado, la no divulgación de los datos robados o ambas cosas.

Los ataques de robo de datos a gran escala se centran en sustraer datos confidenciales de los pacientes, más que en el cifrado o la interrupción del servicio. Este tipo de ataque a la ciberseguridad en el sector sanitario se centra en el fraude a las aseguradoras, el robo de identidad, el espionaje de Estado y la venta en el mercado negro de historiales médicos y otra información sanitaria protegida.

El ransomware no siempre «destruye» los datos de forma permanente, pero puede dejar los sistemas fuera de servicio, corromper archivos, eliminar puntos de recuperación e interrumpir las operaciones hasta que se restauren copias de seguridad o réplicas limpias. Por eso son esenciales el aislamiento de las copias de seguridad, la inmutabilidad y las pruebas de recuperación.

Ataques a la cadena de suministro

Las organizaciones sanitarias dependen de proveedores externos para la facturación, los servicios de patología, los sistemas de radiología, las aplicaciones alojadas en la nube, los dispositivos médicos, los servicios de TI gestionados y los equipos de red. Esta dependencia genera un riesgo en la cadena de suministro, ya que un solo proveedor afectado puede afectar a muchos clientes del sector sanitario.

Los ataques a la cadena de suministro pueden incluir:

• Actualizaciones del software comprometidas
• Cuentas de acceso remoto secuestradas
• Puertas traseras en los sistemas de los proveedores
• Ransomware que se propaga desde un proveedor de servicios gestionados o una plataforma compartida
• Robo de datos de proveedores de facturación, reclamaciones, patología o servicios en la nube

Es posible que los hospitales tengan una visibilidad limitada de las prácticas de seguridad de los proveedores, pero los atacantes saben que estas dependencias. Un solo proveedor vulnerable puede abrir una vía de acceso a los datos de los pacientes, a los flujos de trabajo de reclamaciones o a los servicios clínicos de toda una región.

El phishing, el BEC y el robo de credenciales

Phishing siguen siendo una de las formas más fáciles de acceder a las redes sanitarias. Los atacantes envían correos electrónicos fraudulentos que incitan a los usuarios a abrir archivos adjuntos maliciosos, hacer clic en enlaces o introducir credenciales en páginas de inicio de sesión falsas. El personal sanitario es un objetivo frecuente, ya que gestiona comunicaciones urgentes de pacientes, proveedores, aseguradoras, laboratorios y departamentos internos.

El «Business Email Compromise» (BEC) es una forma más selectiva de fraude por correo electrónico. En los ataques de BEC, los atacantes se hacen pasar por ejecutivos, proveedores, entidades pagadoras o socios de confianza para desviar pagos, solicitar archivos confidenciales o engañar a los empleados para que aprueben actividades fraudulentas.

Las credenciales robadas también pueden utilizarse para acceder a sistemas de historias clínicas electrónicas (EHR/EMR), plataformas de facturación, servicios en la nube, infraestructura de virtualización o portales de acceso remoto. Sin autenticación multifactorial (MFA), acceso con privilegios mínimos y supervisión, una sola cuenta comprometida puede convertirse en el punto de partida para la instalación de ransomware o el robo de datos.

Vulnerabilidades en dispositivos médicos y del Internet de las cosas (IoT)

Los hospitales utilizan miles de dispositivos conectados, entre los que se incluyen bombas de infusión, monitores de pacientes, escáneres de tomografía computarizada (TC), máquinas de resonancia magnética (RM), respiradores, sistemas de llamada a enfermería y estaciones de trabajo del Sistema de Archivo y Comunicación de Imágenes (PACS). Muchos de ellos forman parte del Internet de las Cosas Médicas (IoMT), la categoría específica del sector sanitario de dispositivos conectados que se utilizan para la supervisión, el diagnóstico y la prestación de asistencia.

Estos sistemas pueden resultar difíciles de parchear, ya que dan soporte a flujos de trabajo clínicos, dependen de firmware especializado o deben cumplir los requisitos de certificación de los proveedores. Los atacantes pueden aprovechar contraseñas codificadas de forma fija, firmware vulnerable, protocolos sin cifrar y servicios expuestos, como el Bloque de Mensajes del Servidor (Pymes), RDP o Telnet.

Los atacantes aprovechan contraseñas codificadas de forma fija, protocolos sin cifrar, firmware vulnerable y servicios expuestos (Pymes, RDP, Telnet). En la mayoría de los casos, los atacantes no se centran en los dispositivos en sí, sino que los utilizan como puntos de entrada para un posterior movimiento lateral. Los atacantes utilizan estos dispositivos como un punto de entrada de baja seguridad a la red protegida del hospital. Siguiente, pueden instalar ransomware para destruir datos.

En muchos casos, los atacantes no necesitan controlar directamente la función médica del dispositivo. Pueden utilizar dispositivos con una seguridad deficiente como puntos de apoyo para la persistencia, el movimiento lateral, el reconocimiento y, finalmente, la instalación de ransomware.

Cómo prevenir los ciberataques en el sector sanitario

La ciberseguridad en el sector sanitario debe reducir tanto la probabilidad como el impacto de los ataques. Ninguna herramienta por sí sola puede prevenir cada incidente, pero los controles en capas pueden contener las amenazas antes de que se conviertan en crisis clínicas o financieras.

Para prevenir los ciberataques en el sector sanitario, las organizaciones deben dar prioridad a las siguientes medidas:

1. Reforzar la seguridad de la identidad. Exigir la autenticación multifactorial (MFA) para el correo electrónico, el acceso remoto, las cuentas con privilegios, los servicios en la nube y las consolas de administración. Utilizar el control de accesos basado en roles (RBAC) y los permisos de «privilegio mínimo», de modo que los usuarios solo tengan acceso a los sistemas y datos que necesiten.
2. Proteger los terminales y los servidores. Instalar software antivirus, herramientas de detección y respuesta en los terminales (EDR) y supervisión del comportamiento para detectar actividades sospechosas. Ampliar la cobertura a los servidores, las máquinas virtuales, las cargas de trabajo en la nube y los terminales utilizados por el personal clínico y administrativo.
3. Proteger el correo electrónico y las herramientas de colaboración. Utilizar filtros antispam, protección contra el phishing, análisis de archivos adjuntos maliciosos, autenticación de dominios y flujos de trabajo de notificación de los usuarios.
4. Aplique parches y refuerce la seguridad de los sistemas. Aplique actualizaciones de seguridad periódicamente a los sistemas operativos, las aplicaciones, los hipervisores, los dispositivos de red y los servicios conectados a Internet. Dé prioridad a las vulnerabilidades explotadas conocidas y a los sistemas expuestos al exterior.
5. Segmente la red. Separe los sistemas clínicos, las redes de administración, la red Wi-Fi para visitantes, los dispositivos médicos, la infraestructura de backup y las interfaces de gestión. La segmentación limita el movimiento lateral cuando se ve comprometida una cuenta o un terminal.
6. Proteja los dispositivos médicos y de IoMT. Mantener un inventario de los dispositivos conectados, realizar un seguimiento de las versiones de firmware, restringir el acceso remoto, desactivar los servicios innecesarios y aislar los dispositivos que no puedan actualizarse rápidamente.
7. Formar a los usuarios de forma regular. Ejecutar formación en concienciación sobre seguridad que refleje los flujos de trabajo del sector sanitario, incluyendo el phishing, el BEC, los archivos adjuntos sospechosos, el robo de credenciales y las estafas de pagos urgentes. Facilita la notificación de actividades sospechosas y haz que no suponga ningún tipo de sanción.
8. Realiza la supervisión del entorno. Utiliza herramientas de registro centralizado, detección de anomalías y gestión de información y eventos de seguridad (SIEM), o servicios de detección gestionados para supervisar tu infraestructura y detectar a tiempo comportamientos inusuales.
9. Evalúa el riesgo asociado a terceros. Revise el acceso de los proveedores, los requisitos de seguridad, las condiciones de notificación de incidentes y las expectativas de recuperación para proveedores críticos, como los de facturación, patología, nube, EHR/EMR y proveedores de TI gestionados.
10. Prepare planes de respuesta y recuperación. Mantenga respuesta ante incidentes y planes de recuperación ante desastres que definan roles, vías de escalación, pasos de comunicación, acciones de contención y prioridades de recuperación. Pruebe estos planes con regularidad.

Cómo las copias de seguridad y la Recuperación ante desastres reducen los costes de los ciberataques

Las copias de seguridad y recuperación ante desastres no impiden la intrusión inicial, pero pueden reducir significativamente los costes de los ciberataques en el sector sanitario después de un incidente. Las copias de seguridad limpias y recuperables pueden ayudar a las organizaciones a evitar la dependencia de los rescates, reducir el tiempo de inactividad y restaurar los servicios críticos en una secuencia controlada.

Una estrategia de recuperación para el sector sanitario debe incluir:

• Copias de seguridad periódicas de los sistemas críticos, incluidos servidores físicos, máquinas virtuales, bases de datos, recursos compartidos de archivos, dependencias de EHR/EMR y cargas de trabajo en la nube
• Políticas de programación y retención de copias de backup alineadas con los requisitos clínicos, legales y operativos
• Copias de backup inmutables o aisladas que los atacantes no puedan modificar ni eliminar de las credenciales de producción
• El Regla de backup «3-2-1», con múltiples copias de backup en diferentes tipos de almacenamiento y al menos una copia externa o aislada
• Pruebas de recuperación para confirmar que las copias de backup se pueden restaurar dentro de unos objetivos de tiempo de recuperación (RTO) y objetivos de punto de recuperación (RPO)
• Flujos de trabajo de recuperación documentados para escenarios de ransomware, corrupción de datos, interrupción del centro de datos, interrupción de proveedores e interrupción de los servicios en la nube

Los planes de respuesta ante incidentes y de recuperación ante desastres deben funcionar de forma conjunta. El plan de respuesta ante incidentes debe explicar cómo detectar, contener y notificar un ciberataque. El plan de recuperación ante desastres debe definir cómo restaurar las cargas de trabajo prioritarias, quién aprueba la conmutación por recuperación o la restauración, cómo actúan los equipos clínicos durante el tiempo de inactividad y cómo se validan los sistemas recuperados antes de volver a la producción.

Los costes de la ciberseguridad preventiva en el sector sanitario suelen ser más fáciles de planificar que las consecuencias financieras, legales y para la atención al paciente de un ciberataque grave. Las organizaciones más resilientes invierten antes de que se produzca un incidente, prueban la recuperación antes de necesitarla y consideran las copias de seguridad y la recuperación ante desastres como parte de la planificación de la seguridad del paciente.

Conclusión

Las organizaciones sanitarias deben proteger los sistemas digitales con la misma urgencia con la que aplican a las operaciones clínicas. Los ciberataques pueden interrumpir la atención sanitaria, exponer datos confidenciales, retrasar los ciclos de ingresos y generar problemas de confianza a largo plazo con los pacientes, los socios y las autoridades reguladoras.

La estrategia más eficaz es la de múltiples capas: controles de identidad rigurosos, seguridad del correo electrónico, aplicación de parches, segmentación de la red, protección de dispositivos médicos, supervisión de proveedores, formación del personal, supervisión, respuesta ante incidentes y sistemas de backup y recuperación ante desastres probados. Estas medidas no pueden eliminar cada amenaza, pero pueden reducir el coste de los ciberataques en el sector sanitario y ayudar a las organizaciones a recuperarse más rápidamente cuando se producen incidentes.

Prueba NAKIVO Backup & Replication

Solicita una versión de prueba gratuita para descubrir todas las funciones de protección de datos de la solución. 15 días gratis. Sin limitaciones de funciones ni de capacidad. No es necesario facilitar un número de tarjeta de crédito.

[ Probar gratis ]