Proofpoint, empresa global de ciberseguridad y cumplimiento normativo, y el Instituto Ponemon, organización líder en investigación de seguridad informática, han publicado los resultados de su cuarta encuesta anual sobre los efectos de la ciberseguridad en la atención médica. El informe «Ciberinseguridad en sanidad: El coste y el impacto en la seguridad y la atención del paciente 2025» confirma una realidad preocupante: las ciberamenazas dirigidas a las organizaciones sanitarias no son solo problemas de seguridad informática, sino que pueden representar graves riesgos para la seguridad del paciente y afectar los resultados clínicos.

El informe revela que el 72% de las organizaciones sanitarias que han experimentado ciberataques comunes (ransomware, vulnerabilidades en la nube, ataques a la cadena de suministro y vulnerabilidades de correo electrónico empresarial o BEC) ha sufrido interrupciones en la atención al paciente, en comparación con el 69% del año pasado. Estos ataques no son simplemente molestias operativas: el 54% de las organizaciones afectadas ha registrado un aumento en las complicaciones de procedimientos médicos, el 53% ha informado de estancias hospitalarias más prolongadas y el 29% ha indicado un aumento en las tasas de mortalidad como consecuencia directa.

“La seguridad del paciente es inseparable de la ciberseguridad”, afirma Ryan Witt, vicepresidente de soluciones industriales de Proofpoint. “El informe de este año subraya una cruda realidad: las ciberamenazas no son solo problemas informáticos, sino también riesgos clínicos. Cuando la atención médica se retrasa, se interrumpe o se ve comprometida debido a un ciberataque, los resultados de los pacientes se ven afectados y sus vidas corren peligro. Este informe destaca la necesidad urgente de que las organizaciones sanitarias adopten un enfoque de ciberseguridad centrado en el ser humano, que no solo proteja los sistemas y los datos, sino que también preserve la continuidad y la calidad de la atención”.

Los ciberataques ponen en peligro vidas y sobrecargan las operaciones

El informe de este año, en el que han sido encuestados 677 profesionales de TI y ciberseguridad del sector sanitario en Estados Unidos, arroja luz sobre el impacto operativo, clínico y financiero de las ciberamenazas en un sector donde hay vidas humanas en juego:

·       El 93% de las organizaciones ha sufrido al menos un ciberataque el año pasado, con un promedio de 43 ataques por organización, frente a los 40 de 2024.

·       Si bien el coste promedio del ataque más significativo disminuyó a 3,9 millones de dólares (frente a los 4,7 millones de 2024), los ciberataques siguen suponiendo una importante carga financiera, impulsada por el tiempo de inactividad, la pérdida de productividad del personal y la necesidad de remediación.

·       Los ataques de ransomware siguen siendo frecuentes y cada vez más costosos. El 33% de las víctimas ha pagado las demandas de rescate, pero el pago promedio aumentó a 1,2 millones de dólares, frente a los 1,1 millones de 2024, y un asombroso 60% más que en 2022.

Ataques a la cadena de suministro, BEC y la nube amenazan la seguridad y la atención a pacientes

Entre los cuatro tipos principales de ataques analizados, los ataques a la cadena de suministro han sido los que más probabilidades han tenido de afectar la atención médica. Aunque menos organizaciones han experimentado un ataque de este tipo en 2025 (44% frente al 68% en 2024), el 87% de las afectadas han informado de interrupciones en la atención, un aumento respecto al 82% del año anterior.

Por otro lado:

·       Los ataques BEC (Business Email Compromise) han sido los más propensos a causar retrasos en procedimientos y pruebas, lo que ha derivado en resultados negativos para los pacientes (65%).

·       El ransomware ha sido el tipo de ataque más asociado con estancias hospitalarias más largas (67%) y con un mayor número de pacientes desviados o transferidos a otros centros (50%).

·       El compromiso de cuentas o en la nube, el vector de amenaza más prevalente y persistente, ha afectado al 72% de las organizaciones. El 61% ha notado un aumento en las complicaciones de los procedimientos y el 36% ha señalado una mayor mortalidad, lo que subraya la urgencia de abordar los riesgos asociados con las brechas en la nube o las cuentas, dado su impacto potencial en la atención al paciente y la continuidad del servicio.

El riesgo humano y la pérdida de datos amenazan la seguridad del paciente

El riesgo interno y la negligencia de los empleados siguen siendo desafíos persistentes:

·       El 96% de las organizaciones han experimentado al menos dos incidentes de pérdida o exfiltración de datos relacionados con datos sanitarios sensibles y confidenciales en los últimos dos años.

·       Se han producido de media 18 incidentes de este tipo por organización. El 55% de los encuestados ha afirmado que estos incidentes han interrumpido la atención al paciente; de estos, el 54% ha sufrido un aumento en las tasas de mortalidad, y el 36% ha indicado retrasos en procedimientos y pruebas, lo que derivó en resultados desfavorables.

·       Las principales causas de pérdida de datos incluyen: incumplimiento de las políticas por parte de los empleados (35%), abuso de acceso privilegiado (25%) y envío involuntario de información personal identificable (PII) o información médica protegida (PHI) a destinatarios equivocados por correo electrónico (25%).

·       A pesar de estos riesgos, existe evidencia de una creciente madurez: el 76% de las organizaciones toma medidas para abordar el riesgo de la falta de concienciación de los empleados sobre las amenazas a la ciberseguridad (en comparación con el 71% en 2024). De estos, el 63% realiza programas periódicos de formación y concienciación y el 47% utiliza simulaciones de phishing para mejorar la resiliencia de los empleados.

Riesgos crecientes de la migración a la nube y las aplicaciones móviles

El informe de 2025 también refleja las tendencias en torno a la transformación digital del sector sanitario, con una transición cada vez más acelerada hacia sistemas clínicos alojados en la nube.

·       El 30% de las organizaciones sanitarias ya ha migrado sus aplicaciones clínicas a la nube, y otro 32% planea hacerlo en los próximos dos años.

·       Las herramientas de colaboración más atacadas siguen siendo la mensajería de texto (59%), la videoconferencia (54%) y el correo electrónico (45%), lo que subraya los riesgos asociados a las plataformas de colaboración basadas en la nube en entornos sanitarios.

·       Mientras tanto, las aplicaciones móviles inseguras (eHealth) siguen siendo la principal preocupación cibernética (55%), seguidas de los dispositivos móviles de los empleados (49%) y la vulneración de la nube o de cuentas (49%).

La IA emerge como una línea de defensa clave (y un riesgo)

La IA desempeña un papel cada vez más importante en la estrategia de seguridad sanitaria:

·       El 57% de las organizaciones ha integrado ya sea la IA en la ciberseguridad (30%) o o tanto en la ciberseguridad como en la atención al paciente (27%).

·       El 55% afirma que la IA es muy eficaz para mejorar su estrategia de ciberseguridad, y el 40% utiliza IA/ML para comprender el comportamiento humano, especialmente en relación con la protección del correo electrónico.

·       La prevención de pérdida de datos (DLP) basada en IA está ganando terreno: el 23% de las organizaciones la utiliza actualmente y el 29% planea adoptarla en el plazo de un año.

·       Sin embargo, persisten desafíos: el 60% de las organizaciones tiene dificultades para proteger los datos confidenciales que utilizan los sistemas de IA, y la interoperabilidad y la precisión de los datos son obstáculos clave para su adopción. El 38% ha identificado las herramientas de IA generativa como una preocupación cibernética, una nueva categoría en la encuesta de este año.

Las demandas de liderazgo y experiencia se intensifican

Un número significativo de encuestados cita la falta de experiencia interna (43%) y la ausencia de un liderazgo claro (40%) como los principales obstáculos para una estrategia eficaz de ciberseguridad. Sin embargo, la preocupación por el presupuesto está disminuyendo: solamente el 37% lo considera una barrera, en comparación con el 40% del año pasado. El presupuesto promedio de TI reportado fue de 65 millones de dólares, con un 21% asignado a seguridad de la información.

“Los hallazgos de este año son una llamada de atención para el sector sanitario. La causa principal de muchos incidentes reside en factores humanos: negligencia, riesgo interno y falta de concienciación sobre ciberseguridad”, apunta el Dr. Larry Ponemon, presidente y fundador del Instituto Ponemon. “Los ciberataques afectan ahora de forma rutinaria la seguridad del paciente, y si bien el gasto en seguridad ha aumentado, muchas organizaciones aún carecen de un liderazgo claro y de la experiencia interna necesaria para hacer frente a este desafío”.