Cosa è successo nell'attacco informatico ad AnMed

Un incidente ransomware presso AnMed, un sistema sanitario, ha preso una piega allarmante: secondo alcune segnalazioni, gli aggressori potrebbero utilizzare i dati rubati dei pazienti per condurre truffe di estorsione personalizzate direttamente contro i singoli individui, e non solo contro l'istituzione stessa.

Secondo Healthcare IT News, gli hacker avrebbero dato ad AnMed una finestra di 72 ore per rispondere alle loro richieste, altrimenti avrebbero rischiato di rendere pubbliche le informazioni sanitarie protette (PHI) dei pazienti. La notizia proviene da un paziente anonimo citato in un servizio giornalistico locale, insieme a un presunto screenshot della richiesta di riscatto del sistema sanitario condiviso con Healthcare IT News il 27 luglio. Sebbene la portata completa della violazione e l'identità degli aggressori non siano state confermate in modo indipendente nel reportage, la preoccupazione principale è chiara: informazioni mediche sensibili e dati di contatto riconducibili a pazienti reali potrebbero ora essere in mano a criminali.

Questo è l'aspetto che distingue una violazione in ambito sanitario da molti altri tipi di incidenti che coinvolgono dati. Quando gli hacker rubano dati finanziari, il danno è spesso economico e impersonale. Quando rubano diagnosi mediche, anamnesi di trattamenti e dettagli di contatto, ottengono la materia prima per qualcosa di molto più mirato e psicologicamente manipolativo.

Come le cartelle cliniche rubate consentono truffe di estorsione personalizzate

Gli attacchi ransomware contro le organizzazioni sanitarie seguono tradizionalmente un copione familiare: criptare i sistemi dell'ospedale, chiedere un pagamento all'istituzione e minacciare di diffondere i dati rubati se la richiesta non viene soddisfatta. L'incidente di AnMed indica un'evoluzione preoccupante di quel modus operandi. Quando gli attori delle minacce hanno accesso a diagnosi mediche specifiche abbinate al nome, al numero di telefono o all'indirizzo email di un paziente, possono saltare del tutto l'intermediario istituzionale e rivolgersi direttamente all'individuo.

Un tentativo di estorsione personalizzato potrebbe fare riferimento a una diagnosi reale, a una procedura specifica o a dettagli di una visita medica autentica, dettagli che rendono la minaccia credibile e urgente. È questa specificità a rendere questo tipo di truffa così efficace. Una email di phishing generica è facile da ignorare. Un messaggio che cita effettivamente la propria cartella clinica è molto più difficile da ignorare, anche se la richiesta in sé è fraudolenta o il mittente non ha realmente intenzione di diffondere altro.

Questo rispecchia uno schema più ampio osservato nell'ecosistema criminale, dove i dati rubati non restano inattivi dopo una violazione. Vengono fatti circolare, rivenduti e riutilizzati. La recente scoperta di 918 database diffusi su Telegram mostra quanta parte delle informazioni precedentemente rubate sia ora in circolazione in canali criminali accessibili, a disposizione di chiunque voglia costruire una lista di obiettivi per truffe successive.

Perché le PHI sanitarie sono un bersaglio crescente per i ransomware

Le organizzazioni sanitarie sono da tempo bersagli attraenti per i gruppi ransomware, e le ragioni sono strutturali. Ospedali e sistemi sanitari si basano sulla disponibilità dei dati. Le cartelle cliniche dei pazienti devono essere accessibili istantaneamente affinché l'assistenza possa proseguire in sicurezza, e questo rende tali organizzazioni più propense a pagare rapidamente quando i sistemi vengono bloccati. Questa urgenza crea leva che gli aggressori possono sfruttare.

Ma le stesse PHI possiedono un secondo livello di valore che va oltre il riscatto. Le cartelle cliniche sono ricche, permanenti e profondamente personali. A differenza del numero di una carta di credito, una diagnosi o un'anamnesi di trattamenti non possono essere cancellati o riemessi. Questa permanenza, unita alla sensibilità delle informazioni sanitarie, le rende preziose per uno sfruttamento a lungo termine, incluso il tipo di estorsione diretta ai pazienti descritto nella segnalazione su AnMed.

Non si tratta di una dinamica isolata. Violazioni presso aziende ben al di fuori del settore sanitario, come la violazione di Paidwork che ha diffuso oltre 23 milioni di email e dati bancari, dimostrano con quanta frequenza i dati personali finiscano esposti su larga scala in tutti i settori. Il settore sanitario semplicemente alza la posta in gioco a causa di quanto siano sensibili e irreversibili le informazioni esposte.

Passi che i pazienti possono intraprendere per proteggersi dopo una violazione di dati sanitari

Se avete ricevuto assistenza da un sistema sanitario che ha segnalato un attacco informatico, o se siete preoccupati per la possibilità che i dati dei pazienti del ransomware AnMed vengano usati contro di voi, ci sono passi concreti da compiere fin da subito.

Per prima cosa, siate scettici verso qualsiasi comunicazione – email, SMS o telefonata – che faccia riferimento a dettagli medici specifici e richieda pagamenti o informazioni personali. I fornitori di servizi sanitari legittimi non sollecitano pagamenti tramite messaggi minacciosi legati a una violazione di dati. Verificate qualsiasi contatto di questo tipo direttamente con il sistema sanitario tramite un numero di telefono ufficiale, non quello fornito nel messaggio sospetto.

In secondo luogo, monitorate i vostri account e i rapporti di credito per attività insolite, e prendete in considerazione l'inserimento di un avviso di frode o un blocco del credito se ritenete che le vostre informazioni facciano parte dei dati esposti. Terzo, conservate una registrazione di tutte le comunicazioni sospette ricevute, inclusi screenshot e intestazioni dei messaggi, nel caso doveste segnalarle alla FTC o al procuratore generale del vostro stato.

Cosa significa per voi

La situazione di AnMed ci ricorda che una violazione di dati sanitari non finisce quando le notizie scompaiono. Le PHI rubate possono riemergere mesi o anni dopo in truffe pensate per apparire personali e urgenti. Se siete pazienti di un sistema sanitario che ha subito una violazione, trattate con particolare cautela i messaggi inaspettati che fanno riferimento alla vostra storia medica, indipendentemente da quanto possano sembrare ufficiali.

Azioni concrete da intraprendere

  • Non rispondete né pagate a messaggi che minacciano di diffondere le vostre informazioni mediche; verificate prima attraverso i canali ufficiali.
  • Attivate il monitoraggio del credito o un avviso di frode se sospettate che i vostri dati siano stati esposti in una violazione sanitaria.
  • Conservate le prove dei messaggi sospetti e segnalateli alle autorità competenti.
  • Rimanete informati sulle tendenze più ampie legate alla diffusione di dati, poiché i dati esposti spesso riemergono in nuove truffe molto tempo dopo la violazione originale.

Poiché i gruppi ransomware continuano a prendere di mira le organizzazioni sanitarie, comprendere come le PHI rubate possano essere usate come arma contro gli individui, e non solo contro le istituzioni, è un passo importante per proteggersi in un ambiente in cui le violazioni stanno diventando routine.