La rinnovata spinta dell'FBI per la condivisione dell'intelligence sulle minacce
L'FBI sta chiedendo alle organizzazioni sanitarie di fare qualcosa che molte di loro hanno storicamente evitato: parlare apertamente degli attacchi informatici subiti. Secondo quanto riportato, il bureau sta esortando le aziende del settore a condividere ciò che sanno sulle minacce incontrate, dato che gli attacchi ransomware contro il comparto proseguono a ritmo costante. Il messaggio è chiaro: quando un ospedale o una clinica viene colpito da un gruppo ransomware, le tattiche, gli strumenti e gli indicatori di compromissione usati in quell'attacco potrebbero aiutare altre organizzazioni a difendersi, ma solo se quell'informazione viene effettivamente trasmessa.
Non è un'idea nuova negli ambienti della cybersicurezza. Le forze dell'ordine sostengono da tempo che la condivisione dell'intelligence sulle minacce funge da sistema di allerta precoce per un intero settore. Se un ospedale in uno Stato identifica una campagna di phishing o uno specifico ransomware e quell'informazione raggiunge l'FBI e viene distribuita ad altri operatori sanitari, si riduce la finestra a disposizione degli aggressori per sfruttare la stessa tattica altrove. La rinnovata enfasi dell'FBI su questo punto suggerisce che, nonostante anni di avvertimenti, le informazioni non fluiscono ancora con la libertà auspicata dagli investigatori.
Perché le organizzazioni sanitarie restano in silenzio
Vale la pena chiedersi, a livello redazionale, perché le organizzazioni sanitarie possano esitare a condividere i dettagli degli attacchi. Ci sono ragioni pratiche che vanno oltre la semplice riluttanza. Segnalare un attacco può attirare controlli normativi, sollevare domande da parte di pazienti e partner e aprire la strada a contenziosi. I team IT e legali degli ospedali spesso procedono con cautela, soppesando gli obblighi di notifica rispetto ai rischi reputazionali. In un settore già a corto di personale e budget per la cybersicurezza, il passo in più di raccogliere e condividere i dettagli delle minacce con le forze dell'ordine o con altre realtà del settore può semplicemente scivolare in fondo alla lista delle priorità, specialmente nel caos immediato della risposta a una violazione in corso.
Tutto ciò non significa che le organizzazioni sanitarie agiscano in malafede. Significa che le motivazioni legate alla divulgazione sono complesse, e l'appello dell'FBI è essenzialmente un tentativo di modificare questo calcolo sostenendo che l'intelligence condivisa avvantaggia tutti, compresa l'organizzazione che la fornisce. Questa dinamica non è esclusiva degli ospedali. Gli operatori di infrastrutture critiche affrontano tensioni simili, come si è visto quando il CISA ha avvertito di un'impennata di attacchi ai PLC delle aziende idriche, un altro settore in cui la condivisione tempestiva di informazioni tra gestori e agenzie federali è considerata una difesa di prima linea piuttosto che un ripensamento.
Il costo del silenzio per pazienti e consumatori
Quando le organizzazioni sanitarie tacciono sulle minacce informatiche che affrontano, il rischio ricade in ultima analisi sui pazienti. Le cartelle cliniche contengono alcuni dei dati personali più sensibili esistenti: diagnosi, anamnesi, informazioni assicurative e di fatturazione. Un ritardo nella notifica di una violazione, o la mancata condivisione di intelligence che avrebbe potuto prevenire un secondo attacco, si traduce direttamente in più dati esposti e più persone tenute all'oscuro riguardo alle proprie informazioni.
Questo modello di divulgazione lenta o incompleta non è limitato al settore sanitario. Si manifesta ogni volta che le organizzazioni soppesano la trasparenza rispetto ai timori reputazionali a breve termine, come nei casi come la violazione rivendicata dal gruppo Handala contro agenzie governative degli Emirati Arabi Uniti, in cui la portata della violazione diventa pubblica attraverso le stesse affermazioni degli aggressori anziché tramite una comunicazione proattiva. Inoltre, un sondaggio di Proofpoint ha rilevato che le organizzazioni che pagano i riscatti vengono spesso prese di nuovo di mira, a ricordare che una gestione silenziosa e reattiva degli incidenti ransomware raramente risolve la vulnerabilità sottostante, che il riscatto venga pagato o meno.
Cosa significa per te
Se sei un paziente di un operatore sanitario, probabilmente hai una visibilità limitata su quanto bene quell'organizzazione condivida l'intelligence sulle minacce o gestisca internamente gli incidenti ransomware. Ma ci sono comunque dei passi sotto il tuo controllo. Chiedi ai tuoi fornitori di servizi sanitari informazioni sulle loro politiche di sicurezza dei dati e di notifica delle violazioni. Presta attenzione alle lettere di notifica di violazione quando arrivano e agisci rapidamente invece di metterle da parte. Considera l'uso di password forti e uniche per i portali paziente e attiva l'autenticazione a più fattori ovunque sia disponibile. La cifratura dei dati sia in transito che a riposo, insieme a strumenti sicuri di accesso remoto come le VPN per il personale sanitario che lavora al di fuori dei perimetri di rete tradizionali, contribuisce a ridurre la superficie d'attacco che i gruppi ransomware sfruttano in primo luogo.
Consigli pratici
L'appello dell'FBI alle organizzazioni sanitarie per la condivisione dell'intelligence sulle minacce informatiche evidenzia un divario strutturale che riguarda chiunque sia connesso al sistema sanitario, non solo i reparti IT. Poiché gli attacchi ransomware continuano a colpire ospedali e cliniche, una comunicazione più rapida e aperta sulle minacce potrebbe tradursi in un minor numero di attacchi riusciti in futuro. Nel frattempo, i pazienti possono proteggersi monitorando attentamente le notifiche di violazione, utilizzando un'autenticazione forte su qualsiasi portale medico e ponendo domande dirette ai fornitori sulle loro pratiche di cybersicurezza. La condivisione dell'intelligence sulle minacce può essere una discussione politica che avviene a livello istituzionale, ma il suo impatto reale ricade direttamente sulle persone i cui dati sono a rischio.
