AnMed, il sistema sanitario senza scopo di lucro che serve l’upstate della Carolina del Sud e il nord-est della Georgia, sta lottando contro una scadenza di 72 ore imposta da un ransomware dopo che gli aggressori hanno messo fuori uso servizi clinici essenziali, linee telefoniche e reti interne. L’interruzione, descritta da AnMed come un incidente di cybersecurity che ha coinvolto malware, ha costretto quasi 80 strutture a chiudere o ridurre le attività, anche se i pronto soccorso hanno continuato ad assistere i pazienti durante il blackout.

Secondo quanto riportato sull’incidente, un paziente anonimo ha dichiarato che AnMed aveva 72 ore per pagare il riscatto, altrimenti le informazioni dei pazienti sarebbero state diffuse pubblicamente. Questa affermazione non è stata confermata autonomamente da AnMed, ma sottolinea l’ansia centrale di questa vicenda: non si tratta solo di ripristinare le linee telefoniche e i sistemi di prenotazione. Si tratta di sapere se cartelle cliniche sensibili, dati di fatturazione e informazioni personali di potenzialmente migliaia di pazienti finiranno esposti online.

Cosa è successo ad AnMed

AnMed ha inizialmente riconosciuto l’interruzione come un attacco informatico esterno che ha messo fuori uso le reti interne e l’infrastruttura telefonica in tutto il suo sistema ospedaliero. Nei giorni successivi, il sistema sanitario ha lavorato con agenzie federali e statali ed esperti esterni di cybersecurity per indagare e contenere l’incidente. AnMed ha poi riaperto gli studi medici, ha mantenuto i centri di cure urgenti accessibili senza appuntamento e ha attivato una linea telefonica dedicata per consentire ai pazienti di contattare il personale per gli appuntamenti, mentre l’indagine sui sistemi più ampi prosegue.

Lo schema è familiare a chiunque abbia seguito gli incidenti ransomware in ambito sanitario: gli aggressori prendono di mira i sistemi ospedalieri proprio perché la posta in gioco operativa è altissima. A differenza di un rivenditore o di una società di media, un ospedale non può semplicemente attendere la fine di un’interruzione. I pazienti hanno bisogno di cure, le cartelle devono essere accessibili e ogni ora di inattività crea pressione per risolvere rapidamente la situazione, esattamente la leva su cui contano i gruppi ransomware.

Perché la scadenza delle 72 ore è importante

I gruppi ransomware fanno sempre più affidamento su un modello di doppia estorsione: non si limitano a crittografare i dati, ma minacciano anche di pubblicarli se il riscatto non viene pagato. Una scadenza breve, in questo caso riferita di 72 ore, è pensata per massimizzare la pressione su un’organizzazione che si sta già destreggiando tra sicurezza dei pazienti, obblighi normativi e scrutinio pubblico, tutto contemporaneamente.

Per un sistema sanitario come AnMed, questa pressione è aggravata dal tipo di dati a rischio. Le cartelle cliniche in genere includono numeri di previdenza sociale, dettagli assicurativi, diagnosi, anamnesi farmacologiche e altre informazioni che non possono essere semplicemente reimpostate come una password. Se le affermazioni degli aggressori sulla scadenza della fuga di dati sono accurate, l’esposizione potrebbe estendersi ben oltre i sistemi di AnMed e raggiungere i pazienti che non hanno avuto voce in capitolo su come il loro fornitore ha protetto quei dati.

Questo fa parte di uno schema più ampio in cui i dati personali sensibili diventano una leva, non solo per i gruppi criminali ransomware ma anche in altri contesti. I dibattiti su quanto accesso le autorità o le piattaforme dovrebbero avere alle informazioni personali, come i compromessi esplorati nelle discussioni su la promessa di sicurezza di KOSA e il suo compromesso sulla privacy, riflettono la stessa tensione di fondo: proteggere le persone spesso richiede di raccogliere e conservare esattamente il tipo di dati che diventa pericoloso una volta finito nelle mani sbagliate.

Cosa significa per te

Se sei un paziente attuale o passato di AnMed, la priorità immediata è monitorare le comunicazioni ufficiali del sistema sanitario su quali dati, se del caso, sono stati consultati o esposti. Gli ospedali sono tenuti a informare i pazienti quando le informazioni sanitarie protette vengono compromesse, quindi qualsiasi violazione confermata dovrebbe alla fine comportare un avviso formale, insieme a indicazioni sui servizi di monitoraggio del credito o di protezione dell’identità, se giustificato.

Nel frattempo, è bene trattare con cautela qualsiasi chiamata, SMS o e-mail non richiesta che dichiari di provenire da AnMed, soprattutto se chiede di confermare dati personali, cliccare su un link o effettuare un pagamento. I truffatori spesso si muovono rapidamente dopo una violazione pubblicizzata, sperando di cogliere persone ansiose e in cerca di aggiornamenti.

Più in generale, questo incidente ricorda che le violazioni di dati sanitari comportano conseguenze che vanno oltre l’interruzione iniziale. Anche dopo che le linee telefoniche sono state ripristinate e gli appuntamenti riprendono, i dati medici e finanziari esposti possono circolare per anni, alimentando furti di identità, frodi assicurative e phishing mirato molto tempo dopo che i titoli dei giornali svaniscono.

Consigli pratici

Se ricevi assistenza tramite AnMed o qualsiasi sistema sanitario che subisce un incidente simile, prendi in considerazione questi passaggi:

  • Monitora le comunicazioni ufficiali di AnMed e la copertura affidabile delle notizie locali, anziché fare affidamento su voci o affermazioni non verificate sui social media
  • Controlla attentamente gli estratti conto bancari e assicurativi alla ricerca di addebiti o richieste non familiari nelle settimane successive a qualsiasi notifica di violazione
  • Valuta di inserire un avviso di frode o un blocco del credito se ricevi conferma che il tuo numero di previdenza sociale o i tuoi dati finanziari sono stati esposti
  • Sii scettico riguardo a contatti non richiesti che fanno riferimento alla violazione e verifica qualsiasi richiesta di informazioni personali contattando direttamente AnMed tramite un numero di telefono noto

È improbabile che gli attacchi ransomware agli ospedali rallentino presto, e l’incidente di AnMed è un chiaro esempio del perché i pazienti, non solo i reparti IT, devono rimanere coinvolti nel modo in cui i loro fornitori di assistenza sanitaria proteggono e divulgano le informazioni sensibili.