Un Nuovo Avviso Federale per le Reti Sanitarie

CISA e FBI hanno emesso un avviso congiunto di cybersecurity che mette in guardia ospedali e organizzazioni sanitarie su un'operazione ransomware attiva chiamata Gunra. L'avviso descrive un gruppo ransomware-as-a-service (RaaS) che ha sfruttato vulnerabilità esposte su internet, inclusi difetti nei prodotti Fortinet, per intrufolarsi nelle reti e rubare dati sensibili prima di cifrarli.

Non è il primo avviso su Gunra. Come riportato in US e Corea del Sud Mettono in Guardia sulla Minaccia Crescente del Ransomware Gunra, le autorità hanno monitorato questo gruppo per un po' mentre espandeva la propria portata e le proprie capacità tecniche. L'ultimo avviso focalizza l'attenzione in modo particolare su obiettivi sanitari, governativi e di infrastrutture critiche, e descrive esattamente come il gruppo opera una volta entrato in una rete.

Come Funziona l'Attacco Ransomware Gunra

Secondo l'avviso, una volta che gli affiliati di Gunra ottengono accesso a una rete, seguono un modello di doppia estorsione. Prima esfiltrano i dati, copiando i file dalla rete prima che qualcuno se ne accorga. Poi cifrano i sistemi della vittima, bloccando al personale ospedaliero l'accesso a cartelle cliniche, sistemi di pianificazione e altre infrastrutture critiche.

La tattica di pressione è ciò che rende le cose particolarmente aggressive per gli obiettivi sanitari. Alle vittime vengono concessi solo cinque-sette giorni per pagare prima che Gunra minacci di pubblicare i file rubati su un sito di leak sul dark web. Le negoziazioni avvengono tramite un portale basato su Tor, mantenendo nascosti identità e posizione del gruppo ma consentendo comunque comunicazione diretta con le vittime.

Ciò che rende Gunra particolarmente preoccupante per le agenzie federali è il suo modello di business. Il gruppo sta reclutando attivamente affiliati da altre operazioni ransomware offrendo una quota dell'80% su qualsiasi riscatto raccolto. È una suddivisione insolitamente generosa nel mondo del ransomware-as-a-service, e segnala che Gunra sta cercando di espandersi rapidamente attirando operatori esperti che sanno già come violare le reti e fare pressione sulle vittime.

Perché Gli Ospedali Sono un Obiettivo Primario

Le organizzazioni sanitarie sono state a lungo obiettivi attraenti per i gruppi ransomware, e le ragioni non sono cambiate. Gli ospedali dipendono dalla continuità operativa. Un sistema di cartelle cliniche elettroniche bloccato o una piattaforma di pianificazione congelata non crea solo un disagio, ma può ritardare la cura dei pazienti. Questa urgenza crea pressione a pagare rapidamente, che è esattamente ciò su cui gruppi come Gunra contano.

La componente del furto di dati aggiunge un altro livello di rischio. Le cartelle cliniche dei pazienti includono tipicamente nomi, indirizzi, numeri di previdenza sociale, dettagli assicurativi e storie mediche, tutti elementi con valore reale sui mercati del dark web e utilizzabili per furto d'identità o frodi assicurative molto tempo dopo l'attacco iniziale. Il conto alla rovescia di cinque-sette giorni prima della minaccia di leak significa anche che gli ospedali sono costretti a prendere decisioni ad alto rischio sotto una scadenza stretta e deliberatamente stressante.

Lo sfruttamento di vulnerabilità esposte su internet, in particolare nei prodotti Fortinet secondo l'avviso, è un promemoria del fatto che molte violazioni iniziano con difetti noti e correggibili piuttosto che con attacchi zero-day sofisticati. Le organizzazioni che restano indietro nell'applicare patch a dispositivi perimetrali come firewall e gateway VPN lasciano una porta aperta per gruppi come Gunra.

Cosa Significa Questo Per Te

Se sei un paziente in un ospedale o in un sistema sanitario, questo avviso è un promemoria che le tue informazioni mediche e personali sono sicure tanto quanto i sistemi che le archiviano. In generale non saprai in tempo reale se il tuo fornitore è stato preso di mira, ma puoi adottare misure per limitare i danni se i tuoi dati dovessero mai essere esposti. Monitora le tue dichiarazioni assicurative e i rapporti di credito per attività sconosciute e considera di inserire un avviso di frode o un congelamento del credito se ricevi una notifica di violazione da un fornitore sanitario.

Se lavori nell'IT sanitario o nell'amministrazione ospedaliera, questo avviso dovrebbe spingerti a un controllo immediato dell'infrastruttura esposta su internet, in particolare dispositivi Fortinet e altre apparecchiature perimetrali di rete, per confermare che le patch siano aggiornate. Segmentare le reti in modo che un singolo dispositivo compromesso non fornisca accesso ai sistemi delle cartelle cliniche dei pazienti è un'altra difesa pratica. Dato che Gunra sta reclutando attivamente affiliati con una quota di guadagno insolitamente alta, i team di sicurezza dovrebbero presupporre che il volume di attacchi del gruppo aumenterà nei prossimi mesi, non diminuirà.

Punti Chiave

Il ransomware Gunra rappresenta una minaccia crescente e finanziariamente motivata che prende di mira specificamente ospedali e infrastrutture critiche. L'approccio della doppia estorsione del gruppo, combinato con una scadenza aggressiva di cinque-sette giorni per il riscatto, è progettato per massimizzare la pressione su vittime che possono meno permettersi tempi di inattività. Per i pazienti, rimanere vigili sulle notifiche di violazione e monitorare i conti personali rimane la migliore difesa. Per i team IT sanitari, applicare patch alle vulnerabilità note, in particolare sui dispositivi perimetrali, e mantenere una solida segmentazione della rete sono i passi più immediati e attuabili per ridurre l'esposizione. Mentre le agenzie federali continuano a monitorare l'espansione di Gunra, rimanere informati tramite avvisi come questo è uno dei modi più semplici per stare un passo avanti al prossimo attacco.