🛡 VULNERABILIDADES 🛡

Los sistemas de salud críticos no están preparados para la computación cuántica.

⏰7 de octubre de 2026🛡CyberObservatorio

Idioma

◢ VULNERABILIDADES ◣

Los sistemas de salud críticos no están preparados para la computación cuántica.

⟫ 06/10/2026 ⟫ Jai Vijayan

Fuente: Dark Reading

**Introducción Contextual**

El panorama de la ciberseguridad en el sector sanitario se enfrenta a un nuevo desafío: la llegada de la era de la criptografía post-cuántica (PQC). Este nuevo paradigma no solo implica la adopción de tecnologías avanzadas de cifrado, sino que también plantea serias preocupaciones sobre la protección de datos sensibles que podrían ser vulnerables a ataques sofisticados, como el de “recoger ahora, descifrar después”. Dado que el sector de la salud maneja información extremadamente delicada y confidencial, la falta de preparación ante estas amenazas puede tener consecuencias devastadoras. Esto afecta no solo a las organizaciones sanitarias, sino también a los pacientes cuyas vidas y datos dependen de la seguridad de estos sistemas.

**Detalles Técnicos**

Recientes investigaciones realizadas por Forescout Technologies han revelado que los sistemas de IT y el Internet de las Cosas (IoT) en el ámbito de la salud están, en su mayoría, mal preparados para la adopción de la criptografía post-cuántica. En un análisis de aproximadamente 2.5 millones de dispositivos distribuidos en más de 50 organizaciones de atención sanitaria, se encontraron importantes lagunas en la preparación para PQC. Solo el 50% de los dispositivos IT encuestados contaban con implementaciones de SSH que soportan PQC. En contraste, el porcentaje descendía drásticamente al 16% para la tecnología operativa (OT) y solo al 6% para los dispositivos del Internet de las Cosas Médicas (IoMT).

Los activos de OT/IoT en las organizaciones de atención sanitaria incluyen teléfonos VoIP, impresoras, sistemas de punto de venta, quioscos y equipos de seguridad física. Por su parte, los dispositivos IoMT abarcan monitores de pacientes, bombas de insulina, desfibriladores, ventiladores y equipos de laboratorio e imagenología, muchos de los cuales gestionan o transmiten información médica crítica, como lecturas médicas, datos diagnósticos e información relacionada con tratamientos.

Un aspecto alarmante del informe de Forescout es que más de 5,500 sistemas de salud que contienen registros médicos electrónicos y datos de imagenología médica eran accesibles desde Internet público. De esos sistemas, solo el 31% estaba utilizando TLS 1.3, lo que deja a gran parte de la infraestructura sanitaria expuesta sin el soporte necesario para cumplir con los estándares actuales de PQC. Esta falta de preparación es particularmente preocupante, dado que los registros médicos y otros datos sensibles pueden mantener su valor y confidencialidad durante décadas. Los actores maliciosos que logran robar datos de salud cifrados hoy podrían potencialmente descifrarlos y explotarlos en el futuro, una vez que existan computadoras cuánticas lo suficientemente poderosas.

**Impacto y Consecuencias**

La falta de preparación para PQC en el sector de la salud es un tema que debe tomarse en serio. La advertencia de Daniel Trivellato, vicepresidente de OT, salud y soluciones de riesgo cibernético de Forescout, es clara: las organizaciones de salud deben comenzar a prepararse ahora, antes de que los ataques cuánticos a gran escala se conviertan en una realidad práctica. Los responsables de seguridad, como los CISOs, deben liderar estos esfuerzos, asegurando que la preparación para PQC no sea únicamente una iniciativa de seguridad, sino que implique una coordinación integral entre equipos de infraestructura, ingeniería clínica, ingeniería biomédica, arquitectura empresarial, propietarios de aplicaciones, compras, cumplimiento normativo y proveedores de dispositivos médicos.

El reto que enfrentan las organizaciones de salud es considerable, dado que muchos dispositivos médicos son más difíciles de actualizar que los sistemas IT convencionales. Estos dispositivos especializados suelen tener una larga vida útil y operan en entornos de software altamente controlados, lo que dificulta la implementación de actualizaciones. Equipos como los sistemas de imagenología y dispositivos de atención al paciente frecuentemente funcionan con sistemas operativos antiguos o componentes embebidos, y sus actualizaciones pueden requerir la intervención de los proveedores, revisiones regulatorias o incluso el reemplazo completo del equipo.

**Contexto Histórico**

Históricamente, el sector sanitario ha sido uno de los más atacados por los cibercriminales, especialmente en el ámbito del ransomware. La creciente interconectividad y la digitalización de los registros médicos han creado un entorno propicio para la explotación de vulnerabilidades. A medida que las tecnologías evolucionan, también lo hacen las tácticas de los atacantes, lo que hace que la preparación y actualización de las infraestructuras de seguridad sean esenciales para mitigar los riesgos.

**Recomendaciones**

Para las organizaciones de atención sanitaria que cuentan con recursos limitados, una buena estrategia inicial es priorizar la migración a PQC en función del riesgo, en lugar de hacerlo simplemente por tipo de dispositivo. Es imperativo proteger primero los datos sensibles y de larga duración, como los registros de salud electrónicos (EHR), imágenes médicas y registros de laboratorio y recetas. También es crucial asegurar los sistemas expuestos a Internet, como portales de pacientes, APIs y puertas de enlace VPN, que pueden ser actualizados de forma más rápida.

El siguiente paso es entender dónde reside esta información, cómo se desplaza y qué sistemas la exponen a redes externas. La clave, según Trivellato, es comenzar con la visibilidad, priorizar los datos de alto valor y las conexiones expuestas a Internet, y centrar los esfuerzos iniciales en los sistemas que pueden ser actualizados de manera realista, mientras se construye un plan para los activos que no pueden ser modernizados inmediatamente. La inversión en la modernización, validación, recertificación y planificación de reemplazo del ciclo de vida es un requisito ineludible para enfrentar los desafíos que trae consigo la era de la criptografía post-cuántica.

◢ VULNERABILIDADES ◣

Critical Healthcare Systems Aren't Quantum-Ready

⟫ 06/10/2026 ⟫ Jai Vijayan

Source: Dark Reading

IT and Internet of Things (IoT) systems across the healthcare sector appear largely unprepared for the post-quantum cryptography (PQC) era, leaving sensitive data potentially vulnerable to "harvest now, decrypt later" attacks. The situation is particularly acute for Internet-exposed healthcare systems, many of which lack support for TLS 1.3, the foundation for deploying standardized post-quantum cryptography. Researchers from Forescout Technologiesrecently analyzedsome 2.5 million devices deployed across more than 50 healthcare delivery organizations and uncovered significant gaps in readiness for PQC. Only half of the IT devices surveyed, for instance, were running SSH implementations capable ofsupporting PQC. The numbers were significantly lower for operational technology (OT), at 16%, and Internet of Medical Things (IoMT) devices, at just 6%. Examples of OT/IoT assets in healthcare delivery organizations include VoIP phones, printers, point-of-sale systems, kiosks and physical-security equipment. IoMT devices include patient monitors, insulin pumps, defibrillators, ventilators, and laboratory and imaging equipment many of which handle or transmit highly sensitive patient and clinical information, including medical readings, diagnostic data and treatment-related information. Forescout also identified more than 5,500 healthcare systems containing electronic medical records and medical imaging data that were reachable from the public Internet. Just 31% of those systems were using TLS 1.3, leaving much of the exposed healthcare infrastructure without support for current PQC standards. PQC readiness is particularly important in healthcare because medical records, diagnostic images and other sensitive patient data can remain valuable and confidential for decades. Threat actors who steal encrypted health data today could potentially decrypt and exploit it years later, once sufficiently powerful quantum computers become available. Healthcare is alreadyone of the most targeted sectorsespecially forransomwareactors so the potential for such harvest now decrypt later attacks is not just theoretical. "The main takeaway is that healthcare organizations should start preparing now, before large-scale quantum attacks become practical," warns Daniel Trivellato, Forescout's vice president of OT, healthcare, and cyber-risk solutions. CISOs and other security decision makers should lead the effort, but they should ensure that getting PQC-ready is not just a security initiative. "Successful migration will require coordination among infrastructure teams, clinical engineering, biomedical engineering, enterprise architecture, application owners, procurement, compliance, and medical device vendors," he says. One key challenge, according to Forescout, is that many medical devices are more difficult to upgrade than conventional IT systems because they are specialized systems with long lifespans and tightly controlled software environments. Devices such as imaging systems and patient-care equipment also often run on older operating systems or embedded components and upgrades can require vendor involvement, regulatory review or even replacement of the equipment. "Many of these specialized devices are among the most difficult assets to upgrade and are often critical to patient care," Trivellato says. "That means closing the gap will require far more than software updates. It will demand years of coordinated effort across healthcare providers, device manufacturers, regulators, and service providers." Organizations must be prepared for significant investments in modernization, validation, recertification, and lifecycle replacement planning, he notes. The fact that 50% IT systems in Forescout's survey were PQC-ready yet only 31% of Internet-exposed healthcare systems supported TLS 1.3 is also noteworthy. The gap highlights why improving internal IT readiness alone does not always automatically translate into organizational readiness. "Many healthcare organizations have invested in modernizing portions of their core IT infrastructure, which helps explain the higher PQC readiness of traditional IT assets," Trivellato says. However, many of the systems exposed to the Internet are not traditional IT but rather clinical software, healthcare information platforms, third-party managed services, and other purpose-built technologies that tend to remain in service longer. These platforms are particularly important from a PQC perspective because organizations using them to exchange data across organizational boundaries, patient portals, cloud environments, teleradiology providers, and external partners. "These are precisely the environments where we continue to see lower levels of TLS 1.3 adoption and where migration is likely to be most challenging," Trivellato notes. "The result is that while healthcare has made meaningful investments inmodernizingsome parts of its environment, securing the pathways through which sensitive data is exchanged remains a significant challenge." A good place to start, for healthcare delivery organizations with limited resources, is to prioritize PQC migration based on risk rather than simply by device type. Organizations should first protect sensitive, long-lived data such as EHRs, medical images, lab and prescription records. Also important are Internet-facing systems such as patient portals, APIs and VPN gateways that can be upgraded relatively quickly, Trivellato says. The next step is understanding where that data resides, where it travels, and which systems expose it to external networks. "The key," Trivellato says, "is to start with visibility, prioritize high-value data and internet-exposed connections, and focus early efforts on the systems that can realistically be upgraded while building a road map for the assets that cannot."

𝐗 Twitter f Facebook ☎ WhatsApp ✈ Telegram

← VOLVER A CIBERSEGURIDAD