Perché gli ospedali italiani sono diventati un bersaglio privilegiato dei cybercriminali
La sanità ha sempre trattato alcuni dei dati più sensibili che esistano, dalle informazioni genetiche alle cartelle di salute mentale. Nel 2023 i cybercriminali se ne sono accorti su una scala senza precedenti. Secondo il Rapporto Clusit 2024, la sanità è stato il settore più colpito al mondo, con circa il 14% di tutti gli incidenti informatici gravi rilevati nell’anno. Gli attacchi al settore sono cresciuti di circa il 30% rispetto all’anno precedente e ben l’83% è stato classificato di gravità alta o critica.
Per gli ospedali italiani in particolare, i numeri sono ancora più allarmanti. L’Italia ha registrato un aumento del 65% su base annua degli attacchi informatici complessivi, con la sanità al 9% circa di tutti gli incidenti contro organizzazioni italiane. Il paese assorbe ormai circa l’11% di tutti gli attacchi globali rilevati da Clusit, una quota sproporzionata per una nazione delle sue dimensioni.
Ma non sono solo statistiche. Dietro ogni punto percentuale ci sono ospedali reali costretti a respingere pazienti, a stampare a mano le cartelle cliniche e a vedere i dati rubati comparire nei marketplace del dark web.
Un anno di attacchi ransomware alla sanità italiana
L’ondata di attacchi che ha colpito gli ospedali italiani nel 2023 e all’inizio del 2024 si legge come la cronologia di una crisi. A maggio 2023 l’ASL 1 Abruzzo ha subito una delle violazioni più devastanti nella storia della sanità italiana. Il gruppo ransomware Monti ha sottratto e pubblicato 522 GB di dati di pazienti estremamente sensibili, tra cui informazioni sullo stato HIV, dati genetici e cartelle di salute mentale. I servizi sanitari della zona dell’Aquila sono rimasti paralizzati per settimane.
Appena un mese dopo, gli ospedali dell’area metropolitana di Milano (ASST Rhodense, comprese le strutture di Garbagnate e Rho) sono stati colpiti da un ransomware che ha costretto a dirottare i pazienti del pronto soccorso verso altre strutture. A ottobre il gruppo ransomware Rhysida ha colpito l’Azienda Ospedaliera Universitaria di Verona, mettendo offline i sistemi informatici e riportando il personale clinico ai flussi di lavoro su carta. A novembre è arrivato un altro incidente, stavolta contro il Policlinico e l’ospedale di Baggiovara a Modena, rivendicato dal gruppo Hunters International.
Gli attacchi sono proseguiti nel 2024. Ad aprile Synlab Italia, un’importante rete di laboratori diagnostici che serve ospedali in tutto il paese, è stata paralizzata dal gruppo ransomware Black Basta. Le analisi di laboratorio e la diagnostica sono state sospese per settimane e i dati dei pazienti sono stati infine pubblicati online.
Perché gli ospedali sono particolarmente vulnerabili
Gli ospedali pubblici italiani soffrono di una combinazione di debolezze strutturali che li rende bersagli appetibili. I sistemi IT obsoleti sono diffusi: molte strutture usano ancora sistemi operativi vecchi e senza aggiornamenti. I budget di cybersecurity nella sanità italiana sono in media inferiori all’1% della spesa IT complessiva, ben al di sotto della media europea. Il modello di governance frammentato, in cui ogni azienda sanitaria locale (ASL) gestisce la propria infrastruttura, produce livelli di sicurezza disomogenei in tutto il paese.
A questo si aggiunge una grave carenza di professionisti dedicati alla cybersecurity nella sanità pubblica, ed è chiaro perché i tempi di rilevamento degli incidenti restino pericolosamente lunghi. In diversi dei casi citati, le violazioni sono state scoperte solo quando i dati rubati sono comparsi nei forum criminali.
Cosa cambia la direttiva NIS2 per le organizzazioni sanitarie
Il quadro normativo sta cambiando. La direttiva NIS2, che gli Stati membri dell’UE dovevano recepire nel diritto nazionale entro ottobre 2024, classifica la sanità come “settore ad alta criticità”. Significa che ospedali, aziende farmaceutiche, laboratori di riferimento e produttori di dispositivi medici hanno ora obblighi vincolanti di cybersecurity in tutta l’Unione europea.
L’Italia ha recepito la NIS2 con un decreto legislativo alla fine del 2024, designando l’ACN (Agenzia per la Cybersicurezza Nazionale) come autorità nazionale competente. Le implicazioni pratiche per le organizzazioni sanitarie sono rilevanti.
Gli obblighi principali della NIS2
Con il nuovo quadro, i soggetti interessati devono adottare misure formali di gestione del rischio, mantenere piani di continuità operativa ed effettuare audit di sicurezza periodici. I tempi di notifica degli incidenti sono stretti: dopo la scoperta di un incidente significativo va inviato un preallarme entro 24 ore, seguito da una notifica completa entro 72 ore.
Un altro requisito critico è la sicurezza della supply chain. Gli ospedali che si affidano a fornitori terzi per diagnostica, servizi di laboratorio o dispositivi medici, come ha mostrato il caso Synlab, devono ora valutare e gestire i rischi lungo tutta la catena di fornitura.
Forse l’aspetto più importante: la NIS2 introduce la responsabilità del management. Dirigenti e componenti del consiglio di amministrazione possono essere chiamati a rispondere personalmente delle mancanze in materia di cybersecurity, con sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali.
Lezioni pratiche per le PMI europee
Il rapporto Clusit si concentra molto su sanità e pubblica amministrazione, ma le implicazioni vanno ben oltre gli ospedali. Qualsiasi PMI europea che tratta dati sensibili, opera in un settore regolamentato o fornisce servizi a infrastrutture critiche dovrebbe prestare attenzione.
Gli schemi di attacco usati contro gli ospedali italiani (ransomware veicolato tramite email di phishing, sfruttamento di vulnerabilità non corrette e compromissione di fornitori terzi) sono esattamente le stesse tecniche usate ogni giorno contro le piccole e medie imprese. La differenza è che l’attacco a un ospedale finisce sui giornali nazionali, mentre la violazione di una PMI spesso passa inosservata.
Tre passi che ogni azienda dovrebbe compiere subito
Valuta con onestà la tua esposizione. Molte organizzazioni sopravvalutano la propria preparazione. Se l’ultimo audit di sicurezza risale a più di un anno fa, o se non hai mai fatto una valutazione formale del rischio, sei probabilmente più vulnerabile di quanto pensi. I dati Clusit mostrano che il divario tra sicurezza percepita e sicurezza reale è uno dei maggiori fattori di rischio per le organizzazioni italiane.
Investi sulle basi prima di comprare strumenti avanzati. Gestione delle patch, autenticazione a più fattori, segmentazione della rete e backup offline regolari restano le difese più efficaci contro il ransomware. La maggior parte degli attacchi agli ospedali italiani ha sfruttato vulnerabilità note per cui esistevano già le patch.
Preparati alla risposta agli incidenti, non solo alla prevenzione. Le organizzazioni che si sono riprese più in fretta dagli attacchi del 2023 sono quelle con piani di risposta agli incidenti già testati e rapporti consolidati con team di intervento di cybersecurity. Costruisci il piano di risposta prima che serva, perché i dati Clusit dicono una cosa chiara: per le organizzazioni europee la domanda non è più se un attacco ci sarà, ma quando.
La strada davanti per la cybersecurity in Europa
Il Rapporto Clusit 2024 è insieme un avvertimento e un invito ad agire. Con gli attacchi informatici contro l’Italia che crescono a più del doppio del ritmo globale e con la sanità che subisce alcune delle conseguenze più pesanti, lo status quo non è più sostenibile. La NIS2 fornisce il quadro normativo, ma la sola conformità non basterà. Le organizzazioni europee, dagli ospedali alle PMI, devono trattare la cybersecurity come una funzione centrale del business, non come un ripensamento dell’IT.
I dati sugli ospedali italiani nel 2023 raccontano una storia che ogni imprenditore europeo dovrebbe leggere con attenzione. Questi attacchi non sono riusciti grazie a tecniche sofisticate da stati nazionali. Sono riusciti per sistemi senza patch, controlli di accesso deboli e un persistente sottoinvestimento nelle basi della sicurezza. Sono problemi che ogni organizzazione può cominciare a risolvere oggi.