El sector de dispositivos y tecnologías médicas experimentó durante 2026 una creciente oleada de ciberataques, después de que varias empresas anunciaran intrusiones que afectaron sus sistemas de tecnología de la información y operaciones, o que expusieron datos de empleados y pacientes a accesos no autorizados. La lista de empresas incluye Stryker, Intuitive Surgical, Medtronic, Abbott, iRhythm, AdaptHealth, Cook Medical, Baylor Genetics y UFP Technologies.
Stryker destaca como uno de los casos con mayor impacto operativo. El ataque tuvo como objetivo el entorno global de Microsoft de la empresa el 11 de marzo, lo que interrumpió durante semanas los sistemas de procesamiento de pedidos, fabricación y envíos. La empresa comenzó a restaurar los sistemas el 17 de marzo, recuperó la mayor parte de sus operaciones de fabricación el 27 de marzo y anunció el 10 de abril que había vuelto a operar plenamente, aunque advirtió de un impacto financiero significativo en los resultados del primer trimestre. En mayo, el director ejecutivo Kevin Lobo afirmó que el ataque había dejado un impacto considerable en los resultados trimestrales, mientras la empresa mantuvo sus previsiones para todo el año. Para el 31 de julio, Stryker aún estaba gestionando la acumulación de pedidos y haciendo frente a una interrupción del suministro relacionada con Inari Medical, y en julio informó que continuaba recuperándose.
Filtraciones de datos e intrusiones a través de terceros
Días después del incidente de Stryker, Intuitive Surgical anunció que había sufrido un incidente de phishing que permitió a una parte no autorizada acceder a información empresarial y comunicaciones relacionadas con clientes, además de datos de empleados y de la empresa. Medtronic también informó el 27 de abril de una intrusión en datos de sus sistemas corporativos de tecnología de la información y comenzó a notificar a las personas afectadas el 2 de julio. La empresa confirmó que no tenía pruebas de que los datos a los que se accedió hubieran sido publicados en internet y que no esperaba un impacto significativo en sus operaciones ni en sus resultados financieros.
Abbott anunció el 17 de julio que su negocio de diagnóstico del cáncer había sufrido un ciberataque, después de su acuerdo de 21.000 millones de dólares para adquirir Exact Sciences, pero no especificó qué tipo de información había sido objeto de acceso. Por su parte, AdaptHealth declaró el 7 de julio que habían sido robados datos de pacientes después de que un atacante accediera a sus sistemas mediante un ataque de ingeniería social. El 16 de junio, iRhythm reveló el robo de datos de aplicaciones pertenecientes a un tercero y afirmó que el atacante exigió un pago a cambio de no publicar los datos robados.
Las divulgaciones más recientes
Baylor Genetics y Cook Medical fueron las dos empresas más recientes en revelar incidentes durante agosto. Baylor Genetics afirmó que un tercero podría haber accedido a información de empleados y pacientes, incluidos resultados de pruebas, números de la Seguridad Social y datos de cuentas financieras. En el caso de Cook Medical, el incidente fue consecuencia de una operación fraudulenta que permitió a una entidad externa acceder a algunos sistemas de la empresa, pero la compañía afirmó que no había encontrado pruebas de obtención de datos sensibles o protegidos y que sus operaciones funcionaban con normalidad.
UFP Technologies también investigó un ataque que afectó los datos de la empresa en febrero y advirtió de retrasos a corto plazo en los envíos, sin prever un impacto significativo. Estos casos muestran que el impacto no se limita a la confidencialidad de los datos; en el caso de Stryker, se extendió a la fabricación, los pedidos y los envíos, mientras que otras empresas afrontaron la tarea de notificar a las personas afectadas y evaluar los datos que podrían haber quedado expuestos.
¿Por qué importa esta sucesión?
Esta serie no demuestra que todos los incidentes siguieran el mismo método, ya que los casos incluyeron phishing, ingeniería social, intrusiones en sistemas corporativos y posibles accesos a través de terceros. Sin embargo, muestra la amplitud de los riesgos en un sector cuyas empresas dependen de sistemas interconectados para gestionar la fabricación, la distribución y los datos médicos. Las consecuencias de algunos incidentes aún están siendo evaluadas, por lo que el volumen de información afectada y el impacto operativo y financiero varían de una empresa a otra.