Marc Sureda
Los ciberataques crecieron un 18% este verano respecto al año anterior y julio concentró el 30% de los incidentes, según datos de Secure&IT. La compañía española especializada en seguridad de la información sitúa a servicios, industria, construcción, distribución y salud entre los ámbitos más castigados. Estas organizaciones resultan especialmente expuestas por el volumen de información sensible que manejan y por su dependencia de infraestructuras críticas, cuya interrupción puede afectar a la actividad y, en el caso sanitario, a la prestación asistencial.
El sector salud consolida su exposición. El informe ENISA Threat Landscape 2025 señala que los incidentes en organizaciones sanitarias se concentran en el ransomware (secuestro de datos que bloquea sistemas hasta el pago de un rescate), con un 45%, y en filtraciones de datos (28%), que implican la extracción y divulgación no autorizada de información. Los ataques dirigidos al ámbito sanitario aumentaron un 10% interanual y alcanzan una media de 2.443 intentos semanales, con especial incidencia en hospitales, laboratorios, autoridades sanitarias y farmacéuticas, donde predominan el cifrado extorsivo y el robo de información clínica.
La motivación económica explica parte de este foco. Los historiales médicos, que incluyen datos personales y financieros, tienen alta demanda ilícita: pueden usarse para extorsión, fraude o suplantación de identidad. Algunas estimaciones sitúan un historial médico robado en torno a 1.000 dólares, frente a los 5–7 dólares de una tarjeta de crédito o los 2 dólares de un número de la Seguridad Social.
En técnicas y vectores, el ransomware continúa siendo la amenaza con mayor impacto, seguida de la exfiltración de datos y los ataques de denegación de servicio (DDoS), que saturan los sistemas y degradan su disponibilidad. Gana relevancia la cadena de suministro: el aumento de incidentes en proveedores y terceros tecnológicos configura un punto de entrada crítico para hospitales y laboratorios, con efectos sobre la continuidad operativa y la calidad del servicio al paciente.
La Directiva NIS2, vigente desde octubre de 2024; obliga a hospitales, clínicas y proveedores sanitarios a reforzar controles y a notificar incidentes graves en un plazo de 24 horas. En este contexto, las recomendaciones pasan por medidas preventivas y reactivas: actualización continua de software, formación del personal y preparación de planes de respuesta y recuperación. Junto con una colaboración público-privada que alinee a operadores sanitarios, fabricantes y administraciones en iniciativas coordinadas.
Francisco Valencia, director general de Secure&IT explica: “La ciberdelincuencia sigue evolucionando con el foco puesto en sectores como empresas de servicios, industria, construcción, distribución y salud, que se mantienen de nuevo como las más atacadas. Estas organizaciones son especialmente vulnerables porque gestionan grandes volúmenes de datos sensibles y dependen de infraestructuras críticas que pueden comprometer la seguridad de los ciudadanos«.
Casos recientes
Los incidentes de 2025 confirman el impacto operativo y asistencial de estas amenazas. En junio, varios hospitales del Reino Unido sufrieron un ataque de ransomware que obligó a cancelar más de 800 intervenciones quirúrgicas y afectó a miles de pacientes. En paralelo, Health-ISAC alertó de ataques a proveedores de laboratorios en Alemania y Francia, con interrupciones relevantes en servicios de análisis clínicos.
Francisco Valencia, director general de Secure&IT asegura: “Las consecuencias de este tipo de ciberataques van mucho más allá del impacto económico. Estos incidentes suponen un riesgo real para la salud de los pacientes, ya que tienen la capacidad de interrumpir tratamientos, retrasar diagnósticos e incluso comprometer su bienestar físico”.
En el histórico inmediato, febrero de 2024 dejó uno de los golpes más severos: Change Healthcare, del grupo UnitedHealth; fue atacada con ransomware atribuido a Blackcat/ALPHV, con paradas en servicios críticos como emisión de recetas, pagos y acceso a atención en numerosos centros sanitarios. Se estima que más de 100 millones de personas se vieron afectadas por la exposición de datos personales y médicos, y los costes asociados reportados por la matriz ascendieron a 2.457 millones de dólares. Más allá del impacto económico, estos incidentes introducen riesgos directos para la seguridad del paciente al interrumpir tratamientos, retrasar diagnósticos y alterar procesos clínicos.
