Una grave violazione nella filiera sanitaria

McKesson, una delle più grandi aziende della filiera sanitaria negli Stati Uniti, ha confermato una violazione dei dati che, secondo quanto riportato, ha esposto 284 milioni di cartelle cliniche. La portata di questo incidente lo colloca tra le violazioni di dati sanitari più significative divulgate quest'anno e sottolinea quanta informazione personale e medica sensibile transiti attraverso le aziende che supportano ospedali e farmacie dietro le quinte.

Secondo le notizie sull'incidente, il gruppo di minaccia noto come ShinyHunters rivendica la responsabilità della violazione, sostenendo di aver rubato circa 1 terabyte di dati contenenti 284 milioni di righe di informazioni sui pazienti dall'ambiente cloud Snowflake di McKesson. Il gruppo avrebbe richiesto a McKesson circa 55 milioni di dollari in relazione ai dati rubati. McKesson ha divulgato l'incidente di cybersecurity in un modulo Form 8-K depositato presso la U.S. Securities and Exchange Commission, un passaggio obbligatorio per le società quotate in borsa che affrontano eventi di sicurezza rilevanti.

McKesson fornisce farmaci e prodotti medici a una larga parte degli ospedali a livello nazionale, il che significa che i dati esposti probabilmente riguardano una vastissima fascia trasversale di pazienti che potrebbero non aver mai interagito direttamente con l'azienda stessa. Questo è uno degli aspetti più preoccupanti delle violazioni nella filiera: i pazienti spesso non hanno alcun rapporto diretto con l'organizzazione violata, eppure le loro informazioni sanitarie protette (PHI) e i loro dati personali possono comunque finire compromessi.

Perché i fornitori della filiera sono obiettivi di alto valore

Le aziende della filiera sanitaria come McKesson si trovano all'intersezione tra enormi quantità di dati sensibili e sistemi complessi e interconnessi. Trattano registri di prescrizioni, identificatori dei pazienti e altre informazioni sanitarie protette come parte routine delle loro attività con ospedali, cliniche e farmacie in tutto il paese.

Questa violazione rientra in un pattern più ampio con cui il settore sanitario ha dovuto confrontarsi negli ultimi anni. Gli attaccanti riconoscono sempre più che fornitori terzi e provider di infrastrutture, non solo gli ospedali stessi, possono rappresentare un singolo punto di vulnerabilità che espone dati appartenenti a milioni di pazienti presso molti diversi erogatori di cure. Una dinamica simile si è verificata nel attacco ransomware ChipSoft che ha esposto dati dei pazienti olandesi, dove la compromissione di un singolo fornitore di software si è propagata fino a colpire pazienti in un intero sistema sanitario. Quando un fornitore che gestisce milioni di cartelle cliniche viene compromesso, le conseguenze si estendono ben oltre la base di clienti di quella singola azienda.

L'uso di piattaforme dati cloud come Snowflake in questo incidente è anch'esso degno di nota. Poiché le organizzazioni sanitarie e i loro fornitori si affidano sempre più a data warehouse basati su cloud per gestire dataset enormi, proteggere quegli ambienti, inclusi i controlli di accesso, il monitoraggio e la gestione delle credenziali, diventa altrettanto critico quanto proteggere i tradizionali sistemi on-premises.

Il costo umano dietro i numeri

È facile che un numero come 284 milioni di record appaia astratto, ma ogni riga di quel dataset rubato probabilmente rappresenta la storia prescrittiva, i dettagli medici o gli identificatori personali di una persona reale. Le informazioni sanitarie protette sono particolarmente preziose per i criminali perché, a differenza di un numero di carta di credito, non possono semplicemente essere cancellate e riemesse. I dati medici rubati possono essere usati per frodi assicurative, campagne di phishing mirate, furto d'identità e tentativi di estorsione contro gli individui colpiti.

Le violazioni in ambito sanitario comportano anche rischi operativi oltre all'esposizione dei dati. Le discussioni in eventi del settore dedicate alla cybersecurity ospedaliera hanno evidenziato che quando ransomware o violazioni gravi colpiscono le organizzazioni sanitarie, le ripercussioni possono estendersi alla stessa assistenza ai pazienti, non solo alla privacy dei dati, come trattato nel resoconto sul summit Black Hat e HIMSS dedicato alla sanità. Sebbene l'incidente McKesson sia principalmente un evento di esposizione dei dati piuttosto che un'interruzione delle cure, riflette la stessa vulnerabilità di fondo: la filiera sanitaria è sicura solo quanto il suo anello più debole tra i fornitori.

Cosa significa per te

Se hai mai ricevuto prescrizioni o prodotti medici tramite un erogatore che collabora con McKesson, e data la scala dell'azienda, questo potrebbe includere una larga parte dei pazienti statunitensi, vale la pena trattare questa violazione come un motivo per essere più vigili, anche prima che arrivino le notifiche ufficiali. Tieni d'occhio:

  • Le dichiarazioni di spiegazione dei benefici (EOB) della tua assicurazione sanitaria per servizi o prescrizioni che non riconosci
  • Chiamate, SMS o email inaspettate che fanno riferimento alla tua storia medica o alle tue prescrizioni, che potrebbero essere tentativi di phishing che utilizzano dati rubati
  • Comunicazioni da McKesson o dal tuo fornitore di assistenza sanitaria sulla violazione, e qualsiasi offerta di servizi di monitoraggio del credito o protezione dell'identità
  • I tuoi rapporti di credito, poiché le PHI sono spesso abbinate ad altri dettagli identificativi utilizzabili per il furto d'identità

McKesson non ha ancora confermato la portata completa o l'accuratezza delle affermazioni di ShinyHunters, e i dettagli potrebbero evolvere mentre l'indagine continua. Tuttavia, data la mera mole di record presumibilmente coinvolti, i pazienti colpiti da questa violazione dei dati McKesson dovrebbero presumere una qualche esposizione delle informazioni personali fino a quando non verranno fornite indicazioni più concrete.

Punti chiave

La violazione dei dati McKesson è un promemoria del fatto che i rischi per la privacy sanitaria si estendono ben oltre le mura di ospedali e cliniche, fino ai fornitori e alle piattaforme cloud che gestiscono silenziosamente i dati dei pazienti su larga scala. Esamina attentamente qualsiasi notifica di violazione che ricevi, monitora i tuoi conti medici e finanziari per attività insolite e considera di congelare il tuo credito se sospetti che le tue informazioni siano state parte di questa esposizione. Mentre le indagini su questo incidente proseguono, rimanere informati attraverso aggiornamenti verificati da McKesson e dalle autorità di regolamentazione resta il modo migliore per proteggerti nelle sue conseguenze.