Qué pasó con el ciberataque a Boston Scientific y qué operaciones interrumpió

Boston Scientific detectó un ciberataque el 25 de agosto de 2026 y lo comunicó el día siguiente en una presentación ante la Comisión de Bolsa y Valores de Estados Unidos (SEC). El incidente provocó una caída de la red a escala mundial y limitó el acceso a sistemas informáticos y aplicaciones empresariales utilizados para fabricar productos, procesar pedidos y gestionar envíos. La recuperación seguía en curso el 28 de agosto y la compañía no había dado un calendario para restablecer por completo sus operaciones. 2

La distinción más importante es esta: el problema afectó principalmente a los sistemas operativos y empresariales de Boston Scientific, no a la función de los dispositivos implantados. La compañía dijo que su investigación no había encontrado impactos conocidos en el funcionamiento de los dispositivos implantables de gestión del ritmo cardíaco ni en la transmisión de datos de los dispositivos que ya estaban inscritos en monitorización remota. Sin embargo, algunas nuevas inscripciones y activaciones de monitorización remota quedaron limitadas. 15

Qué interrumpió el ciberataque

Boston Scientific informó de problemas en determinados sistemas de tecnología de la información, sistemas operativos y aplicaciones empresariales. La consecuencia inmediata no fue un fallo comunicado en los productos implantados, sino la pérdida o limitación del acceso a las herramientas que sostienen la actividad diaria.

La interrupción afectó a la capacidad de la empresa para:

• fabricar productos;
• procesar normalmente los pedidos de clientes; y
• enviar los pedidos terminados mediante sus sistemas y procesos logísticos habituales. 12

El efecto combinado creó un problema para la cadena de suministro de hospitales y otros clientes que dependen de los dispositivos médicos de Boston Scientific. La empresa explicó que aún podía recibir pedidos por vía electrónica —incluidos los enviados mediante intercambio electrónico de datos (EDI) y Global Health Exchange (GHX)—, pero que estos quedaban en una cola para ser atendidos más adelante, en lugar de procesarse y enviarse con normalidad. 15

Los pedidos podían entrar, pero no salir con normalidad

La actualización publicada por Boston Scientific el 29 de agosto ofreció una imagen más precisa que la primera comunicación sobre la caída. La compañía podía recibir pedidos electrónicos a través de EDI y de aplicaciones locales, pero los mantenía retenidos hasta que los sistemas afectados volvieran a estar operativos. Es decir, la entrada de pedidos no se había detenido por completo; el principal cuello de botella estaba en su gestión, cumplimiento y envío. 15

Boston Scientific no había dicho cuándo comenzaría a procesar los pedidos acumulados ni cuándo recuperaría su capacidad habitual de distribución. La ausencia de una fecha de restauración dejó a los clientes sin certeza sobre los plazos de entrega y a la empresa todavía evaluando las consecuencias comerciales y financieras. 12

Impacto en la fabricación y en las plantas de Irlanda

La caída también alcanzó las operaciones de fabricación de Boston Scientific, aunque la información disponible no ofrece una cifra de producción perdida por planta. Los centros irlandeses de Cork, Clonmel y Galway se encontraban entre los afectados por la interrupción global de la red. En conjunto, más de 7.000 personas trabajan en las operaciones de la empresa en Irlanda. 310

Informaciones procedentes de Cork señalaron que algunos empleados fueron enviados a casa o recibieron instrucciones de trabajar a distancia cuando fuera posible. En Galway también se indicó al personal que trabajara desde casa, mientras que las necesidades presenciales se decidían según las exigencias operativas. Algunos turnos de Cork fueron cancelados mientras continuaba la interrupción.

Estas medidas muestran cómo un incidente que afecta a la tecnología corporativa y operativa puede extenderse mucho más allá de las oficinas. Cuando no están disponibles el acceso a la red, los sistemas de producción o las aplicaciones empresariales de apoyo, el personal de fabricación tampoco puede trabajar con normalidad. Los informes confirman que la fabricación se vio afectada, pero no permiten establecer cuánta producción se perdió en cada centro irlandés.

¿Se vieron afectados los dispositivos cardíacos implantados?

En su actualización del 29 de agosto, Boston Scientific dijo que no había detectado impactos conocidos en la función de los dispositivos implantables de gestión del ritmo cardíaco. También afirmó que no había identificado problemas en la transmisión de datos de los dispositivos que ya estaban siendo monitorizados a distancia ni en el acceso de los profesionales sanitarios a esa información de gestión remota. 15

La limitación afectaba a las nuevas altas y activaciones. Las inscripciones en monitorización remota iniciadas después de la interrupción de la red no podían completarse con normalidad. Se trata de una restricción operativa del proceso de soporte y puesta en marcha, no de una prueba de que los dispositivos implantados hubieran sido desactivados, modificados o comprometidos. 15

La diferencia es relevante para pacientes y profesionales: el impacto confirmado se situaba en los sistemas y procesos de apoyo de Boston Scientific, mientras que la actualización pública de la compañía no señalaba una interrupción en el funcionamiento de los dispositivos ya implantados.

Respuesta de la empresa y estado de la recuperación

Tras identificar el incidente, Boston Scientific activó sus procedimientos de respuesta y recurrió a especialistas externos en ciberseguridad para investigar y contener la amenaza. 269

Al principio, la compañía dijo que trabajaba para recuperar las funciones y el acceso a los sistemas afectados, pero que no podía ofrecer un plazo para la restauración completa. También estaba evaluando el alcance, la naturaleza y las consecuencias del incidente, incluido el posible efecto material sobre sus operaciones o sus resultados financieros. 12

La actualización del 29 de agosto delimitó un aspecto relevante: según la evaluación en curso de Boston Scientific, los sistemas y aplicaciones basados en la nube no se habían visto afectados y la actividad no autorizada estaba limitada a determinados sistemas locales, alojados en sus propias instalaciones. Ese dato acotaba el área conocida del incidente, pero no resolvía todas las dudas sobre la recuperación ni sobre una posible exposición de datos. 15

Lo que todavía no se sabe

Las comunicaciones públicas disponibles hasta el 28 de agosto no identificaban:

• el método inicial de acceso;
• los sistemas concretos a los que accedió el intruso;
• si se extrajeron datos;
• si se utilizó ransomware; ni
• quién era el grupo responsable.

Tampoco había un informe público confirmado sobre una filtración de datos de pacientes o una petición de rescate en la información disponible. Estas lagunas deben entenderse como preguntas aún sin resolver, no como una prueba de que no se robaran datos o de que el uso de ransomware estuviera descartado. La empresa seguía determinando el alcance completo y las consecuencias del incidente. 2

Reacción del mercado y posible impacto financiero

Boston Scientific declaró unos ingresos aproximados de 20.000 millones de dólares en 2025. Una interrupción prolongada de la fabricación, la gestión de pedidos y los envíos podría afectar al calendario de ingresos y a las entregas a clientes, incluso si la intrusión técnica terminara limitada a determinados sistemas. 1

Las acciones de la compañía cayeron alrededor de un 4,5 % el 26 de agosto, mientras los inversores valoraban el posible efecto sobre los ingresos a corto plazo. La reacción reflejaba la incertidumbre: Boston Scientific todavía no sabía cuánto duraría la interrupción ni si el incidente tendría un impacto financiero significativo.

Por qué importa para la ciberseguridad sanitaria

El caso de Boston Scientific muestra que el riesgo cibernético en el sector sanitario no se limita a las historias clínicas electrónicas ni al funcionamiento directo de los dispositivos conectados. Una intrusión en sistemas corporativos y locales puede interrumpir la fabricación, las colas de pedidos, la logística, la atención a clientes y los trámites necesarios para incorporar a nuevos pacientes a la monitorización remota.

En este incidente, el daño confirmado fue principalmente una pérdida de disponibilidad operativa: Boston Scientific podía recibir algunos pedidos, pero no procesarlos ni enviarlos con normalidad, y la fabricación también se vio alterada. Al mismo tiempo, la compañía no informó de impactos conocidos en la función de los dispositivos cardíacos implantados ni en la monitorización que ya estaba activa. 15

Esta separación es importante, pero no elimina los riesgos futuros. Las empresas sanitarias y de tecnología médica deben tener en cuenta las conexiones entre las redes corporativas, los entornos de producción, las aplicaciones en la nube, las plataformas logísticas y los servicios de apoyo a pacientes. La caída de Boston Scientific demuestra cómo una interrupción en una de esas capas puede repercutir rápidamente en hospitales, empleados y clientes de varios países, incluso cuando los dispositivos médicos continúan funcionando.