El sector de la salud ha emergido como uno de los principales blancos de los ciberataques en los últimos años. Con un aumento del 37% en incidentes graves en 2023, según la Agencia de la Unión Europea para la Ciberseguridad (ENISA), la situación se ha vuelto alarmante. En España, el panorama es similar, con un incremento notable en los ataques, destacando el uso de ransomware como LockBit y BlackCat. Este fenómeno no solo pone en riesgo la integridad de los datos, sino que también compromete la seguridad de los pacientes y la continuidad de la atención médica.
La digitalización del sector sanitario, que incluye la telemedicina, historiales clínicos electrónicos y dispositivos médicos conectados, ha ampliado la superficie de ataque. Esto significa que hay más «puertas» abiertas para que los ciberdelincuentes accedan a los sistemas de los hospitales. Según el estudio ENISA THREAT LANDSCAPE, el sector salud representa el 8% de los incidentes de ciberseguridad. Miguel López, Director Regional de Ventas para el Sur de Europa en Barracuda, señala que el ransomware es la amenaza más común, responsable de más del 50% de los casos, lo que tiene un impacto significativo en la operativa hospitalaria.
Además del ransomware, otras amenazas como el phishing y el spear phishing buscan robar credenciales, mientras que las fugas de datos de historiales médicos, que pueden costar entre 30 y 900 euros en el mercado negro, son igualmente preocupantes. Los ataques a dispositivos médicos conectados y las denegaciones de servicio (DDoS) también son relevantes, ya que pueden interrumpir servicios críticos que afectan directamente la atención al paciente.
La vulnerabilidad del sector sanitario frente a estos ataques se debe a varios factores. En comparación con sectores como la banca, el transporte o la energía, la sanidad presenta una menor madurez en ciberseguridad. Los hospitales manejan datos extremadamente sensibles y sistemas clínicos que son vitales para la vida de las personas, lo que los convierte en un objetivo prioritario. A diferencia de otros sectores que han realizado inversiones significativas en ciberseguridad y cuentan con regulaciones estrictas, la sanidad ha digitalizado rápidamente sus procesos sin integrar adecuadamente la seguridad, manteniendo infraestructuras heredadas y presupuestos limitados.
Un ciberataque en el sector sanitario puede tener consecuencias devastadoras. La caída de sistemas críticos, como la historia clínica electrónica o los sistemas de laboratorio, puede provocar retrasos en diagnósticos y tratamientos, aumentando el riesgo de errores médicos. Si se ven afectados dispositivos médicos conectados, como respiradores o bombas de insulina, las consecuencias pueden ser fatales. Además, los hospitales atacados a menudo deben desviar pacientes a otros centros, lo que incrementa los tiempos de respuesta y puede comprometer la atención de urgencias.
El caso del Hospital Clínic de Barcelona, que sufrió un ciberataque en 2024, es solo uno de los muchos ejemplos que evidencian esta problemática. Otro caso notable es el del Hospital Universitario Düsseldorf en Alemania, que en septiembre de 2020 no pudo recibir a una paciente en urgencias debido a un ataque de ransomware. El Health Service Executive (HSE) de Irlanda también fue víctima de un ataque en mayo de 2021, lo que resultó en el colapso del sistema de citas y diagnósticos en todo el país, afectando gravemente a pacientes oncológicos y otros enfermos críticos.
La falta de inversión en ciberseguridad es una de las principales barreras para implementar medidas efectivas en hospitales y centros sociosanitarios. Los presupuestos limitados suelen priorizar la atención directa sobre la inversión en seguridad, y la escasez de personal especializado en entornos clínicos agrava la situación. Además, el cumplimiento de normativas como NIS2 y RGPD requiere recursos y coordinación que muchos centros aún no tienen consolidados.
Para mitigar los riesgos de ciberataques en el sector sanitario, se recomienda adoptar un enfoque de Zero Trust, que verifica continuamente la identidad y permisos de cada usuario o dispositivo. La segmentación de redes es otra estrategia clave, ya que permite aislar sistemas críticos y limitar la propagación de amenazas. La implementación de estas medidas no solo protegerá los datos sensibles de los pacientes, sino que también garantizará la continuidad de la atención médica en un entorno cada vez más digitalizado.
