Proofpoint, Inc. y los agentes de IA, y Ponemon Institute dieron a conocer hoy los hallazgos de la quinta edición anual del informe Cyber Insecurity in Healthcare, que revela que los ciberataques están aumentando en frecuencia, costo e impacto operativo en las organizaciones de salud de Estados Unidos.

El 97% de las organizaciones encuestadas experimentó al menos un ciberataque durante los últimos 12 meses y, de estas, el 74% reportó interrupciones en la atención a pacientes como consecuencia. El promedio de ataques aumentó de 43 en 2025 a 51, mientras que el costo promedio del ciberataque más costoso creció casi 8%, hasta alcanzar los 4.2 millones de dólares. La adopción de inteligencia artificial también está avanzando a un ritmo más acelerado que su gobernanza. Los agentes de IA que operan sin controles se posicionaron como una de las principales causas de pérdida de datos, señalada por el 24% de los participantes.

“La resiliencia cibernética se ha convertido en un elemento esencial para la resiliencia del sector salud”, afirmó Ryan Kalember, director de Estrategia de Proofpoint. “Cuando un ciberataque retrasa un procedimiento, prolonga una hospitalización u obliga a trasladar a los pacientes a otra institución, el riesgo cibernético se convierte en un riesgo para el paciente. La IA está sumando una nueva dimensión, ya que las personas y los sistemas de inteligencia artificial acceden a los mismos datos confidenciales y flujos de trabajo clínicos. Las organizaciones de salud necesitan una estrategia de seguridad diseñada en torno a estas interacciones, de modo que puedan adoptar la IA sin comprometer la confianza de la que depende la atención a pacientes”.

El informe de este año, basado en las respuestas de 705 profesionales de TI y seguridad de TI de organizaciones de salud en Estados Unidos, destaca las siguientes tendencias:

• Las interrupciones operativas se están convirtiendo en el mayor costo cibernético para el sector salud
• Un mayor número de ataques está generando costos más elevados e interrupciones más graves. El costo promedio del ciberataque más costoso aumentó de 3.9 millones de dólares en 2025 a 4.2 millones de dólares en 2026.
• El tiempo de inactividad y la recuperación representan el mayor impacto financiero. Las interrupciones en las operaciones habituales de las organizaciones de salud generaron un costo promedio de 1.39 millones de dólares, la categoría individual de mayor costo, seguida de 1.05 millones de dólares asociados con el tiempo improductivo y la pérdida de productividad.

La adopción de IA avanza más rápido que su gobernanza

• La IA está incorporándose a las operaciones y la seguridad del sector salud. El 45% de las organizaciones ya integró la IA en la ciberseguridad o tanto en la ciberseguridad como en la atención a pacientes, mientras que otro 30% planea adoptarla.
• La seguridad y la gobernanza no han avanzado al mismo ritmo. El 60% de las organizaciones carece de controles para gestionar los datos confidenciales utilizados en sistemas de IA; solo el 42% emplea medidas de seguridad diseñadas específicamente para sistemas de IA, agentes y aplicaciones de IA generativa; y apenas el 32% tiene visibilidad total sobre el uso que los empleados hacen de herramientas de IA no autorizadas.
• La IA está generando nuevas dependencias y riesgos para los datos. Los principales riesgos específicos de la IA que preocupan a las organizaciones son los asociados con la cadena de suministro de proveedores de IA, con 40%; la filtración de datos a través de prompts, con 36%; y el phishing y la ingeniería social generados mediante IA, con 34%.

Las consecuencias de las interrupciones cibernéticas llegan hasta la atención directa a pacientes

• Los ciberataques están afectando directamente la atención a pacientes. En los cuatro tipos de ataques analizados, compromiso de cuentas o entornos en la nube, ransomware, ataques a la cadena de suministro y compromiso del correo electrónico empresarial (BEC), un promedio del 53% de los participantes que reportaron interrupciones en la atención señaló un aumento de las complicaciones derivadas de procedimientos médicos; el 52% informó estancias hospitalarias más prolongadas; y otro 52%, retrasos en pruebas o procedimientos.
• Los ataques a la cadena de suministro tuvieron el mayor impacto en la atención a pacientes. El 90% de las organizaciones que experimentaron estos ataques reportó interrupciones en la atención, frente al 87% registrado en 2025. El ransomware fue el tipo de ataque más asociado con estancias hospitalarias prolongadas, con 70%, mientras que el BEC se relacionó principalmente con retrasos en procedimientos y pruebas que derivaron en resultados clínicos desfavorables, con 68%.
• La pérdida de datos también representa un riesgo para la atención a pacientes. Durante un periodo de dos años, las organizaciones experimentaron un promedio de 21 incidentes de pérdida o exfiltración de datos relacionados con información confidencial de salud. El 54% señaló que estos incidentes interrumpieron la atención a pacientes y, dentro de este grupo, el 56% reportó un aumento en las tasas de mortalidad. La negligencia de los empleados se mantuvo como la principal causa reportada de pérdida de datos, mientras que los agentes de IA sin controles se posicionaron como una causa para el 24% de las organizaciones.
• La migración del sector salud a la nube está elevando los riesgos asociados con el compromiso de cuentas. El 35% de las organizaciones trasladó aplicaciones clínicas a la nube, frente al 30% registrado en 2025, mientras que otro 44% planea hacerlo durante los próximos dos años. Sin embargo, los incidentes de compromiso de cuentas o entornos en la nube, que alcanzaron un promedio de hasta 20 por organización, interrumpieron la atención a pacientes en el 65% de los casos, una cifra que aumenta a medida que se acelera la adopción de la nube.

Disminuyen los pagos por ransomware, pero persisten las interrupciones

• Menos organizaciones están pagando rescates y los montos también están disminuyendo. El 31% de las organizaciones que experimentaron ransomware pagó un rescate, frente al 33% registrado en 2025. Asimismo, el pago promedio del rescate más costoso disminuyó de 1.2 millones a 1.1 millones de dólares.
• Las consecuencias clínicas siguen siendo significativas. El 72% de las organizaciones que experimentaron ransomware reportó interrupciones en la atención a pacientes, frente al 67% registrado en 2025. Entre las organizaciones que informaron este tipo de afectaciones, el 70% señaló estancias hospitalarias más prolongadas.