A medida que aumenta el riesgo de sufrir un ataque, la eficacia con la que una organización gestiona sus datos determina el alcance del mismo y la rapidez con la que se puede reanudar la atención. ¿Cómo se puede lograr esto?
Los ataques de ransomware siguen afectando al sector sanitario, con consecuencias potencialmente devastadoras que pueden prolongarse durante meses después del incidente.
En febrero de 2026, el Centro Médico de la Universidad de Mississippi se vio obligado a cerrar todas las clínicas después de sufrir una ataque de ransomware.
En junio de 2024, el NHS quedó sumido en el caos tras un ataque de ransomware contra un proveedor de servicios de patología. Sinnovis, lo que resultó en uno de sus incidentes cibernéticos más disruptivos desde el punto de vista operativo en la memoria reciente. En el ataque atribuido a la Grupo de ransomware QilinLos datos de los pacientes fueron publicados en la web oscura en un caso típico de doble extorsión.
En febrero del mismo año, Change Healthcare, una subsidiaria de UnitedHealth Group responsable de procesar una proporción sustancial de reclamaciones de atención médica en los EE. UU., sufrió un ataque atribuido a ALPHV/Gato NegroPronto se supo que los datos de aproximadamente 100 millones de personas se habían visto comprometidos, lo que la convirtió en la mayor violación de seguridad sanitaria en la historia de Estados Unidos.
El sector sanitario se sitúa constantemente entre los sectores más atacados a nivel mundial. ataques de ransomwareAsí lo afirma Tracey Hannan-Jones, directora de consultoría en seguridad de la información de UBDS Digital. Las razones son "estructurales" y "están empeorando", añade.
A medida que aumenta el riesgo de sufrir un ataque, la eficacia con la que una organización gestiona sus datos determina el alcance del mismo y la rapidez con la que se puede reanudar la atención. ¿Cómo se puede lograr esto?
Ransomware en evolución
Los ataques de ransomware son cada vez más sofisticados y afectan a un sector sanitario que ya se enfrenta a dificultades debido a la falta de presupuesto. El riesgo se agrava por el hecho de que este sector maneja datos extremadamente sensibles, y la interrupción de las operaciones no es una opción.
Las técnicas de ataque han evolucionado más allá del cifrado tradicional, y los ciberdelincuentes están adoptando tácticas de "extorsión sin cifrado" que se centran exclusivamente en la filtración de datos y amenazan con divulgar o vender información confidencial robada, según explica Lorri Janssen-Anessi, vicepresidenta de operaciones de riesgo global de BlueVoyant, a IO. "Estas tácticas suelen formar parte de estrategias de extorsión doble y triple".
La IA se está acelerando aún más Este cambio permite a los atacantes "aumentar la velocidad, la escala y la sofisticación de los ataques", advierte.
A medida que las técnicas evolucionan más allá del cifrado, las copias de seguridad ya no son suficientes para proteger el sector. Jake Moore, asesor global de ciberseguridad de ESET, describe un «cambio claro» del cifrado de datos a la doble extorsión.
Las cosas han cambiado drásticamente desde entonces. Ataque de WannaCry en 2017, que afectó hasta a un tercio de los fideicomisos del NHS de Inglaterra y a cientos de consultorios médicos, dice Moore. “En ningún momento los operadores de ransomware amenazaron con liberar los datos. Pero hoy en día, los grupos de ransomware como clop y Qilin utiliza la amenaza de filtrar datos sanitarios comprometidos para ejercer una mayor presión sobre sus víctimas.”
Impacto humano y operativo
Los ataques contra el sector sanitario son diferentes a los de otros sectores porque tienen un impacto humano directo. Durante años, el sector sanitario trató el ransomware como un problema de protección de datos: hacer copias de seguridad, restaurarlas y seguir adelante.
Según los expertos, con la extorsión doble y triple, esto ya no sucede.
«Cuando los sistemas fallan, los médicos pierden el acceso a los historiales clínicos, el tratamiento se retrasa y el personal recurre a procesos manuales que ralentizan la atención y generan riesgos», explica el Dr. Darren Williams, fundador y director ejecutivo de BlackFog, a IO. «La ciberresiliencia se ha vuelto inseparable de la seguridad del paciente y la continuidad de la atención».
El incidente de Synnovis, que dejó a los pacientes sin poder hacerse análisis de sangre durante meses, es un claro ejemplo de cómo las cosas pueden salir drásticamente mal rápidamente. Si bien no fue un evento directo, muerte de un paciente En el King's College Hospital NHS Foundation Trust se ha relacionado el fallecimiento con problemas para obtener un análisis de sangre en ese momento. Un portavoz del hospital declaró que varios factores contribuyeron a la muerte del paciente, entre ellos "una larga espera para obtener el resultado del análisis de sangre".
Y en algunos casos, la sensibilidad de los datos a los que se accede es excepcionalmente alta. Tomemos el ejemplo de New York City Health and Hospitals, el sistema de salud pública más grande de los Estados Unidos, que revelada En mayo se supo que unos piratas informáticos robaron datos personales, historiales médicos e información biométrica, incluidas huellas dactilares, en una filtración que afectó al menos a 1.8 millones de personas.
“Lamentablemente, vemos muchos ataques de gran repercusión que afectan a la atención al paciente, paralizando los sistemas de reservas, los sistemas de enrutamiento de ambulancias, las comunicaciones internas y retrasando los resultados de las pruebas”, afirma Moore.
Mala gobernanza de datos
El impacto de una mala gestión de datos se ve agravado por el hecho de que los historiales médicos no se pueden simplemente volver a emitir.
Al mismo tiempo, la dispersión de datos es un problema importante, afirma el Dr. Williams. “Los datos de los pacientes se encuentran distribuidos en historias clínicas electrónicas, sistemas de imagen, plataformas heredadas obsoletas, dispositivos conectados y una larga lista de proveedores externos. Cuando una organización desconoce la ubicación exacta de sus datos confidenciales, no puede protegerlos y, lo que es igual de importante, tras un ataque no puede determinar con certeza qué datos fueron sustraídos. Esta incertidumbre es lo que convierte un incidente aislado en una notificación de violación de seguridad completa, una exposición regulatoria y la pérdida de la confianza de los pacientes”.
Teniendo en cuenta los riesgos, los expertos creen que la gobernanza de datos debe evolucionar, pasando de ser una mera tarea de cumplimiento normativo a constituir la base de la resiliencia. Dray Agha, gerente sénior de operaciones de seguridad en Huntress, sugiere un cambio de mentalidad: de un enfoque meramente formal a una necesidad operativa. «Esto implica minimizar activamente la huella digital de los datos, aplicar estrictos controles de acceso y comprender los flujos de datos, garantizando que, incluso en caso de una brecha de seguridad, los sistemas críticos permanezcan protegidos y sean recuperables».
Marcos como ISO 27001, Ayuda a proporcionar a las organizaciones una forma estructurada de crear y demostrar la gobernanza de datos antes de un ataque, en lugar de después, cuando ya es demasiado tarde.
Definir qué significa en la práctica una “buena” gobernanza de datos, ISO 27001, Exige una gestión rigurosa de los activos, una evaluación continua de los riesgos y una clasificación precisa de la información. Esto garantiza que las organizaciones apliquen controles de seguridad «directamente proporcionales al valor y la sensibilidad de los datos que manejan», afirma Agha.
Mientras tanto, ISO 22301, Según Hannan-Jones, de UBDS Digital, la gestión de la continuidad del negocio aborda directamente la resiliencia operativa.
Junto con la gobernanza de datos, la regulación juega un papel central en la configuración de cómo el sector sanitario gestiona el riesgo de ransomware. Ley de Portabilidad y Responsabilidad del Seguro Médico de los Estados Unidos (HIPAA) y la Proyecto de ley británico sobre ciberseguridad y resiliencia y Reino Unido Reglamento General de Protección de Datos (RGPD, así como la UE Ley de resiliencia operativa digital La Directiva sobre Derechos de Autorización de Seguridad (DORA) y la Directiva sobre Redes y Sistemas de Información 2 (NIS2) imponen requisitos más estrictos, y los responsables de seguridad deben mejorar la gestión de riesgos de terceros, mantener la supervisión de los proveedores y cumplir con normas estrictas de notificación de incidentes.
Impulsando la gobernanza y la resiliencia de los datos.
No cabe duda de que el ransomware seguirá afectando a las organizaciones, y el sector sanitario continúa siendo un objetivo importante. Por ello, resulta fundamental que el sector revise a fondo la forma en que gestiona los datos, conociendo qué información contiene, dónde se almacena y cómo se clasifica, minimiza, controla el acceso y recupera.
Para abordar los riesgos actuales del ransomware en el sector sanitario, es necesario pasar de una «defensa reactiva» a una «resiliencia integral de la organización», según Janssen-Anessi de BlueVoyant. «Esto implica integrar la ciberseguridad en la toma de decisiones clave del sector, garantizando que la ciberresiliencia esté presente en todas las áreas de las operaciones de la organización, no solo en los equipos de TI o seguridad».
También implica pasar de los modelos de seguridad tradicionales y aislados a "un enfoque fundamentalmente diferente que pueda abordar de forma proactiva los ataques de ransomware entre dominios", afirma Janssen-Anessi. "Los modelos de seguridad tradicionales son insuficientes porque fueron diseñados y construidos principalmente para lidiar con incidentes aislados y estrategias de defensa basadas en el perímetro, en lugar de con la actividad de amenazas persistentes y en constante evolución", señala.
Según Moore, de ESET, los responsables de seguridad y cumplimiento normativo en el sector sanitario deberían realizar simulacros de ciberseguridad y ejercicios de simulación de ataques (red teaming) con la participación de múltiples agencias al menos una vez al año. «Esto implica colaborar con otros servicios esenciales, como los bomberos y la policía, sometiendo sus sistemas a pruebas de estrés e identificando las vulnerabilidades en sus procesos de gobernanza de datos antes de que los ciberdelincuentes puedan aprovecharse de ellas».
| ¿Qué dice la norma ISO 27001? | |
|---|---|
| Sepa qué información posee | Inventario y clasificación de activos de información (A.5.9, A.5.12, A.5.13) detalle cómo no puede proteger, recuperar o informar con precisión sobre los datos que no ha mapeado. |
| Almacenar menos datos | Retención de direcciones y eliminación/minimización segura (A.8.10), lo que reduce directamente lo que los atacantes pueden robar. |
| Controla quién llega a él | Emplee el principio de mínimo privilegio y la restricción de acceso (A.5.15, A.8.3), por lo que un solo compromiso no lo expone todo. |
| Ser capaz de recuperarse | La preparación de las TIC y las copias de seguridad garantizan la resiliencia y ayudan a la continuidad (A.8.13, A.5.29, A.5.30), incluyendo la restauración probada, no solo las copias de seguridad que existen en papel. |
Amplíe su conocimiento
Blog: Cómo el ransomware se convirtió en un problema de resiliencia empresarial
Guía: Informe sobre el estado de la seguridad de la información 2025
