Cosa è successo nell'attacco ransomware DeadLock a Diater

La violazione dei dati medici di Diater da parte del ransomware DeadLock ha messo a rischio un decennio di dati sanitari sensibili dopo che il gruppo ransomware legato alla Russia, DeadLock, ha infiltrato i sistemi dell'azienda biofarmaceutica. Diater, che sviluppa prodotti per allergie e immunoterapia, aveva conservato per circa dieci anni storie cliniche e dati di farmacovigilanza (documenti utilizzati per monitorare la sicurezza e gli effetti collaterali dei farmaci). Tale archivio è ora coinvolto in quello che i ricercatori di sicurezza chiamano un attacco di doppia estorsione, una tattica in cui gli hacker non solo criptano i file della vittima, ma ne rubano anche preventivamente delle copie, minacciando poi di divulgarle pubblicamente se non viene pagato un riscatto.

Questo approccio a doppia pressione è diventato una delle caratteristiche distintive delle moderne operazioni ransomware. Anche se un'azienda può ripristinare i propri sistemi dai backup ed evitare di pagare per sbloccare i file criptati, gli aggressori mantengono comunque una leva: la minaccia di esporre i dati rubati al pubblico o di venderli ad altri criminali. Per un'azienda del settore sanitario come Diater, questa leva è particolarmente potente, perché i dati in questione includono alcune delle informazioni più personali che una persona possa avere: la propria storia clinica.

Perché le tattiche di doppia estorsione rendono i dati sanitari particolarmente vulnerabili

Le organizzazioni sanitarie e farmaceutiche sono da tempo bersagli allettanti per i gruppi ransomware, e le ragioni sono semplici. Le cartelle cliniche sono dense di dettagli personali preziosi e difficilmente modificabili: diagnosi, storia dei trattamenti, registri dei farmaci e, in questo caso, dati di farmacovigilanza che tracciano la risposta dei pazienti a specifici farmaci. A differenza del numero di una carta di credito rubata, che può essere bloccata e riemessa, la storia clinica di una persona non può essere semplicemente sostituita una volta esposta.

La doppia estorsione aggrava il rischio perché elimina la rete di sicurezza che un tempo offrivano i backup. Un decennio fa, un'organizzazione ben preparata poteva in gran parte neutralizzare un attacco ransomware ripristinando i dati dal backup e rifiutandosi di pagare. Oggi, gli aggressori come il gruppo dietro DeadLock danno per scontata questa possibilità e rubano prima i dati, trasformando ogni incidente ransomware in una potenziale violazione dei dati, indipendentemente dalla rapidità con cui i sistemi vengono recuperati. Questo cambiamento ha reso gli attacchi ransomware contro le organizzazioni legate alla sanità un problema persistente e in evoluzione, che continua ad attirare l'attenzione ben oltre ogni singolo episodio.

Cosa significa per i pazienti l'esposizione di storie cliniche e dati di farmacovigilanza

Per i pazienti le cui informazioni facevano parte dell'archivio Diater, la preoccupazione va oltre il semplice imbarazzo per la privacy. Le storie cliniche possono rivelare condizioni croniche, allergie, trattamenti di salute mentale o dettagli sulla salute riproduttiva, informazioni che possono essere utilizzate per phishing mirato, frodi assicurative o discriminazione se finiscono nelle mani sbagliate. I dati di farmacovigilanza, che tracciano le reazioni avverse ai farmaci, possono essere altrettanto sensibili poiché spesso collegano l'identità di un paziente a farmaci specifici ed esiti di salute per un periodo prolungato.

Poiché questi dati sono stati conservati per circa dieci anni, la portata dell'esposizione non è limitata ai pazienti recenti. Individui che hanno interagito con i servizi di Diater molto prima che la violazione fosse resa nota potrebbero ancora avere documenti nell'archivio compromesso. Questa lunga finestra di conservazione ricorda che i dati non devono essere recenti per essere preziosi per gli aggressori, o dannosi per le persone che descrivono.

Come pazienti e operatori sanitari possono ridurre l'esposizione alle violazioni dei dati medici

Sebbene i pazienti non possano controllare come un'azienda come Diater protegge la propria infrastruttura, ci sono misure che riducono il rischio personale dopo qualsiasi violazione legata all'assistenza sanitaria. Prestare attenzione alle e-mail di phishing o alle chiamate che fanno riferimento a dettagli medici specifici, poiché i dati clinici rubati sono spesso utilizzati per rendere più convincenti i tentativi di truffa. Valutare l'attivazione di un avviso di frode o il blocco del credito se la notifica della violazione suggerisce che insieme alle cartelle cliniche sono state incluse informazioni rilevanti per il furto d'identità. E, ove possibile, chiedere agli operatori sanitari e alle organizzazioni partner informazioni sulle loro politiche di conservazione dei dati, poiché un decennio di documenti archiviati rappresenta un decennio di rischio accumulato se tali dati vengono compromessi.

Sul fronte organizzativo, questo incidente rafforza uno schema più ampio che i ricercatori di sicurezza stanno monitorando: i gruppi ransomware stanno perfezionando i loro metodi ed espandendo i loro obiettivi oltre gli ovvi istituti finanziari. Le autorità di regolamentazione in altre regioni hanno già iniziato a lanciare l'allarme sulla rapidità con cui queste tattiche si stanno evolvendo. Le autorità di cybersicurezza di Taiwan, ad esempio, hanno recentemente emesso un avviso sul ransomware potenziato dall'IA che prende di mira settori critici, illustrando come le tecniche utilizzate contro Diater facciano parte di un panorama di minacce molto più ampio e ancora in via di sviluppo, piuttosto che un evento isolato.

Cosa significa per te

Se sei mai stato un paziente o un cliente collegato a un operatore sanitario o farmaceutico, episodi come la violazione dei dati medici di Diater ad opera del ransomware sono un utile stimolo per rivedere la propria igiene digitale. Ciò significa verificare se sono state emesse notifiche di violazione direttamente a tuo nome, monitorare attività insolite sull'account ed essere scettici riguardo a messaggi non richiesti che fanno riferimento a dettagli sanitari, anche quelli che sembrano legittimi.

Punti chiave

  • Gli attacchi ransomware a doppia estorsione rubano i dati prima di criptarli, quindi il ripristino dei sistemi non elimina il rischio di esposizione.
  • Le storie cliniche e i dati di farmacovigilanza sono particolarmente sensibili perché non possono essere riemessi come una password o il numero di una carta.
  • Lunghi periodi di conservazione dei dati, come il decennio di documenti di Diater, ampliano il bacino di persone potenzialmente colpite da una singola violazione.
  • I pazienti dovrebbero prestare attenzione al phishing mirato e considerare il monitoraggio del credito dopo qualsiasi divulgazione di violazione legata all'assistenza sanitaria.
  • Questo attacco si inserisce in uno schema più ampio di gruppi ransomware che perfezionano le loro tattiche in tutti i settori e regioni, non solo nel settore sanitario.