Qué pasó con el ciberincidente de Boston Scientific y qué actividades afectó

Boston Scientific informó el 26 de agosto que había detectado el día anterior, el 25 de agosto, un incidente de ciberseguridad que afectaba a determinados sistemas de tecnología de la información. El episodio provocó una interrupción global de la red y alteró parte de las operaciones de la empresa de dispositivos médicos, incluidos los sistemas y aplicaciones utilizados para tramitar pedidos de clientes y enviar productos. 1

La compañía activó sus procedimientos de respuesta a incidentes, incorporó a especialistas externos en ciberseguridad y comenzó a investigar, contener y recuperar los sistemas afectados. Sin embargo, en su comunicación inicial señaló que todavía estaba evaluando el alcance, la naturaleza, las consecuencias operativas y el impacto financiero del incidente. 1

Qué actividades afectó el incidente

Boston Scientific no detalló todos los sistemas afectados ni identificó al supuesto atacante en la información divulgada. Sí explicó que el acceso a determinados sistemas operativos y aplicaciones empresariales se había interrumpido o limitado. El impacto empresarial más concreto se produjo en las funciones que permiten procesar pedidos y gestionar los envíos a clientes. 178

La empresa advirtió que las interrupciones podían continuar mientras trabajaba para restaurar los sistemas y funciones afectados. Al 26 de agosto, no había ofrecido un calendario para recuperar por completo el servicio. 1411

La diferencia es importante: la información pública confirma un incidente con consecuencias operativas relevantes, pero todavía no permite determinar cuántos pedidos o envíos se retrasaron, si la fabricación se vio afectada o cuál fue el impacto total sobre los clientes.

Qué ocurrió en las instalaciones de Irlanda

Boston Scientific emplea a más de 7.000 personas en sus operaciones irlandesas de Cork, Clonmel y Galway. Los trabajadores fueron informados de una interrupción global de la red que afectaba las comunicaciones tanto en los centros de Irlanda como en otras ubicaciones del mundo. 29

Según las informaciones publicadas, el personal de la planta de Cork fue enviado a casa y recibió instrucciones de trabajar a distancia. En Galway, los empleados también fueron autorizados o instruidos para trabajar desde casa durante el resto de la jornada. Los reportes confirmaron que los tres centros irlandeses quedaron incluidos en la interrupción global, aunque la información pública disponible no precisó claramente si en Clonmel se aplicó una medida laboral específica distinta. 3910

Cómo respondió Boston Scientific

La compañía afirmó que activó sus protocolos de respuesta en cuanto detectó el incidente. También recurrió a expertos externos para investigar y contener la amenaza, mientras sus equipos locales y globales de tecnología de la información trabajaban para restablecer las comunicaciones de red y las funciones empresariales afectadas. 1316

Al cierre de la comunicación del 26 de agosto, la investigación y la recuperación seguían en curso. Boston Scientific no había indicado cuándo volverían a estar operativos todos sus sistemas ni había calculado el impacto financiero u operativo. 114

Qué dijo sobre sus previsiones financieras

Boston Scientific no cuantificó pérdidas ni anunció cambios en sus previsiones financieras. La empresa dijo que aún no había determinado si era razonablemente probable que el incidente tuviera un efecto material sobre sus resultados. 114

Aun así, la noticia afectó a la confianza de los inversores. Las primeras informaciones situaron la caída de las acciones en torno al 4 % en la negociación previa a la apertura del mercado. Más tarde, otro reporte cifró el descenso en el 4,6 %, hasta 47,57 dólares por acción. Son mediciones de la reacción bursátil en distintos momentos, no una estimación definitiva del coste financiero del incidente. 818

Riesgos empresariales que contempló la compañía

En su comunicación regulatoria, Boston Scientific enumeró posibles consecuencias, no resultados confirmados. Entre los riesgos mencionó:

• dificultades prolongadas para restaurar sistemas o datos;
• falta de soluciones alternativas adecuadas para los procesos afectados;
• divulgación o deterioro no autorizado de información confidencial o de terceros;
• fraude o uso delictivo de la información;
• interrupción de la actividad y perjuicios financieros;
• distracción de la dirección y costes de recuperación;
• litigios y supervisión regulatoria; y
• daños en las relaciones con clientes, proveedores y empleados, así como en la reputación de la empresa. 1

Hasta ese momento, Boston Scientific no había confirmado públicamente una filtración de datos, un robo concreto de información, una exigencia de rescate de ransomware ni la identidad de un grupo responsable. Esas cuestiones seguían formando parte de la investigación y no eran hechos establecidos.

Cómo encaja en los ataques contra empresas de tecnología médica en 2026

El incidente se produjo en un año marcado por varios ciberataques contra compañías de dispositivos médicos. Stryker informó anteriormente de una interrupción global después de que su entorno de Microsoft fuera atacado. Según los reportes, el incidente afectó los pedidos, los envíos y la fabricación, y la recuperación se prolongó durante semanas. Un grupo vinculado a Irán reivindicó la responsabilidad, aunque esa afirmación no demuestra que el mismo actor estuviera implicado en el caso de Boston Scientific.

El incidente de Medtronic tuvo un perfil diferente. Informes de seguridad señalaron que un acceso no autorizado a determinados sistemas corporativos expuso información personal y médica relacionada con aproximadamente 3,8 millones de personas, mientras que los productos y las operaciones de la compañía no se vieron afectados, según lo reportado.

El contraste ayuda a entender el riesgo: un ciberincidente en una empresa de dispositivos médicos puede afectar principalmente a la continuidad del negocio, como ocurrió con Boston Scientific; paralizar la fabricación y la distribución, como se informó en el caso de Stryker; o convertirse sobre todo en un problema de protección de datos sin una interrupción reportada de productos u operaciones, como en Medtronic.

Un entorno de amenazas cada vez más exigente

Check Point Research registró una media mundial de 2.336 ciberataques semanales por organización en julio de 2026: un 3 % más que en junio y un 16 % más que un año antes. Otros informes situaron a los sectores sanitario y de dispositivos médicos entre los que afrontaban niveles elevados de riesgo.

Estos datos aportan contexto, pero no prueban que exista una campaña común. La evidencia disponible no vincula los incidentes de Boston Scientific, Stryker y Medtronic ni demuestra que compartieran atacante o técnica. Sí muestra por qué las empresas de tecnología médica deben considerar como riesgos conectados sus redes corporativas, los sistemas de pedidos, los entornos de fabricación y los datos sanitarios sensibles.

Qué sigue sin saberse

Al 26 de agosto, las principales preguntas abiertas eran:

• cuándo restauraría Boston Scientific por completo los sistemas afectados;
• cuántos pedidos o envíos se habían retrasado;
• si la fabricación o la disponibilidad de productos habían sufrido alteraciones;
• si se había accedido a información confidencial o personal o si esta había sido extraída;
• si el incidente afectaría de forma material a los resultados o a las previsiones; y
• quién fue responsable y qué método se utilizó.

La comunicación inicial de Boston Scientific confirmó la interrupción de la red y sus consecuencias operativas, pero no estableció todavía el alcance final del episodio. Serán necesarios nuevos comunicados de la empresa y documentos regulatorios para evaluar su impacto total sobre el negocio.