Cosa è successo all’ospedale canadese
Un attacco ransomware a un ospedale in Canada ha compromesso molto più dei computer amministrativi e delle cartelle cliniche. Secondo quanto riportato da Cybersecurity Insiders, l’attacco ha messo fuori uso i sistemi di controllo delle porte, degli ascensori, della ventilazione e dell’aria condizionata all’interno della struttura, costringendo il personale a gestire le operazioni fisiche dell’edificio senza i sistemi automatizzati su cui normalmente fa affidamento.
Si tratta di un allontanamento significativo dagli episodi ransomware che di solito fanno notizia. La maggior parte della copertura mediatica sui casi di attacchi ransomware agli ospedali in Canada e altrove si è concentrata sul furto di dati dei pazienti, documenti di fatturazione o informazioni assicurative. Questo episodio è diverso perché mostra come gli aggressori riescano a raggiungere la tecnologia operativa che mantiene materialmente in funzione un ospedale, non soltanto i sistemi IT che ne conservano i dati.
Anche se i dettagli sul gruppo ransomware responsabile, il nome dell’ospedale e l’importo del riscatto richiesto non sono stati resi noti nelle prime notizie, l’elemento centrale è proprio il tipo di interruzione. Quando porte, ascensori e sistemi di climatizzazione vanno fuori uso in un ospedale, l’impatto passa quasi immediatamente da un problema informatico a un problema di sicurezza dei pazienti.
Perché il ransomware oggi colpisce i sistemi fisici degli ospedali, non solo i dati
Gli ospedali sono diventati bersagli interessanti per il ransomware per una ragione semplice: non possono permettersi lunghi periodi di inattività come altre organizzazioni. Un rivenditore con i server cifrati potrebbe perdere vendite per qualche giorno. Un ospedale con la ventilazione bloccata, le porte chiuse o gli ascensori fuori uso affronta rischi immediati per l’assistenza ai pazienti, il controllo delle infezioni e la risposta alle emergenze.
Molti ospedali gestiscono sistemi di gestione degli edifici, controlli HVAC e sistemi di controllo accessi su reti collegate, direttamente o indirettamente, alla stessa infrastruttura utilizzata per l’elaborazione clinica e amministrativa. Quando un ransomware si diffonde nella rete di un ospedale, non sempre rispetta la linea di separazione tra “IT” e “gestione delle strutture”. Un singolo punto d’appoggio può finire per influenzare contemporaneamente apparecchiature per il monitoraggio dei pazienti, serrature delle porte e sistemi di trattamento dell’aria.
Questa fusione tra rischio digitale e rischio fisico fa parte di uno schema più ampio. Le operazioni ransomware sono cresciute fino a diventare un’economia criminale matura, con affiliati dedicati, negoziatori e infrastrutture costruite appositamente per spingere le vittime a pagare in fretta. La portata di questa attività è stata documentata in recenti ricerche di settore che mostrano come gli attacchi ransomware abbiano raggiunto livelli record nei trimestri recenti, sottolineando che episodi come quello di questo ospedale canadese non sono eventi isolati, ma parte di un’ondata molto più ampia.
Doppia e tripla estorsione: il modello di business dietro gli attacchi alla sanità
La logica finanziaria alla base di questi attacchi si è notevolmente evoluta. Il ransomware tradizionale si limitava a cifrare i file e a chiedere il pagamento per la chiave di decrittazione. Oggi molte operazioni usano tattiche di doppia estorsione: rubano dati sensibili prima di cifrare i sistemi e poi minacciano di diffonderli pubblicamente se il riscatto non viene pagato. Alcuni gruppi si spingono ancora oltre, adottando approcci di tripla estorsione che aggiungono pressione su clienti, pazienti o partner commerciali dell’organizzazione vittima.
Per gli ospedali questo crea un calcolo difficile. Anche se i sistemi di backup consentono a una struttura di ripristinare i file cifrati senza pagare, la minaccia di dati dei pazienti divulgati o, come in questo caso, la continua interruzione dei sistemi fisici dell’edificio, aumenta la pressione a negoziare. Le forze dell’ordine di diversi paesi hanno adottato misure per colpire le persone e le reti dietro le principali operazioni ransomware, comprese azioni sanzionatorie contro operatori legati a infrastrutture note, come le sanzioni imposte all’amministratore di Trickbot conosciuto come Stern. Resta il fatto che il modello di business sottostante rimane abbastanza redditizio da far sì che nuovi attacchi continuino a emergere contro obiettivi sanitari.
Cosa possono fare pazienti e personale sanitario per proteggere i propri dati
Per i pazienti, esiste uno scarso controllo diretto su come un ospedale protegge la propria rete, ma ci sono comunque passi concreti che vale la pena compiere. I pazienti coinvolti in un incidente informatico di una struttura sanitaria dovrebbero prestare attenzione alle notifiche ufficiali di violazione, monitorare le dichiarazioni assicurative e di fatturazione alla ricerca di attività anomale ed essere cauti di fronte a tentativi di phishing che fanno riferimento all’incidente. La portata dei danni possibili quando i dati sanitari vengono esposti è stata resa chiara dalla violazione di Change Healthcare che ha coinvolto oltre 190 milioni di record, la quale ha mostrato come un singolo episodio ransomware nel settore sanitario possa propagarsi fino a colpire pazienti ben oltre il bersaglio iniziale.
Il personale sanitario e gli amministratori IT, dal canto loro, dovrebbero considerare questo episodio come un promemoria per separare la tecnologia operativa, come i controlli degli accessi agli edifici e i sistemi HVAC, dalle reti cliniche e amministrative ogni volta che è possibile. Backup regolari, piani di risposta agli incidenti collaudati e protocolli di comunicazione chiari per le operazioni dell’edificio durante un incidente informatico non sono più accessori opzionali. Sono requisiti fondamentali per strutture in cui un’interruzione della rete può tradursi direttamente in un pericolo per la sicurezza.
Cosa significa tutto questo per te
Questo attacco ransomware a un ospedale in Canada è un segnale che le minacce ransomware sono andate oltre i file rubati per entrare negli spazi fisici dove viene erogata l’assistenza. Che tu sia un paziente, un dipendente ospedaliero o semplicemente qualcuno che segue le notizie di cybersicurezza, la conclusione è la stessa: gli incidenti ransomware in ambito sanitario comportano sempre più conseguenze che vanno ben oltre la riservatezza dei dati. Restare attenti alle notifiche di violazione, comprendere come si sviluppano questi attacchi e sostenere pratiche di sicurezza più solide nelle istituzioni sanitarie sono modi concreti per rispondere a una minaccia che non sparirà presto.
