Due violazioni sanitarie, una brutta settimana per i dati dei pazienti

Una nuova rassegna di incidenti di sicurezza compilata da Secret CISO mette in luce quanto le organizzazioni sanitarie rimangano esposte ad attacchi informatici a scopo di estorsione. Tra gli eventi principali: una violazione presso OnePoint Patient Care che secondo quanto riportato ha raggiunto 800.000 pazienti in cure palliative, e un tentativo dichiarato di estorsione dati da 1,3 terabyte rivolto al gigante farmaceutico Novo Nordisk.

L'incidente di OnePoint Patient Care è particolarmente preoccupante per ciò che è stato esposto. Secondo le notizie, i registri compromessi combinano informazioni mediche, dettagli assicurativi e dati identitari, esattamente la combinazione che rende così dannose le violazioni che riguardano le cure palliative e i servizi ad esse collegati. Il gruppo INC Ransom ha rivendicato la responsabilità dell'attacco, posizionandolo come uno degli eventi di violazione dei dati sanitari più significativi segnalati questo mese.

Separatamente, Novo Nordisk ha affrontato un tentativo di estorsione che coinvolgeva un presunto 1,3TB di dati. Sebbene i dettagli completi di ciò che è stato sottratto rimangano limitati nelle notizie pubbliche, la sola scala segnala il tipo di furto di dati su larga scala diventato comune nelle campagne ransomware a doppia estorsione, in cui gli attaccanti sia cifrano i sistemi sia minacciano di divulgare i file rubati se non viene pagato un riscatto.

Perché i dati delle cure palliative e farmaceutici sono un bersaglio privilegiato

Le cartelle sanitarie sono preziose per gli attaccanti proprio perché raramente sono isolate. La cartella di un paziente in cure palliative tipicamente include storia clinica, identificatori assicurativi e informazioni di identità personale tutte nello stesso posto. Questa combinazione consente ai criminali di tentare frodi assicurative, furto d'identità e campagne di phishing mirate usando dettagli che sembrano legittimi perché lo sono.

Non si tratta di un fenomeno isolato. I gruppi ransomware si sono sempre più concentrati su fornitori di assistenza sanitaria e servizi correlati perché i dati sono sensibili, la posta operativa è alta e le organizzazioni spesso si sentono sotto pressione di pagare rapidamente per evitare di interrompere l'assistenza ai pazienti. Le agenzie federali hanno ripetutamente segnalato questa tendenza; avvisi congiunti su minacce come il ransomware Gunra, ad esempio, hanno specificamente indicato il targeting del settore sanitario e finanziario come una preoccupazione crescente. Una analisi correlata di quello stesso avviso ha evidenziato come le aggressive tattiche di doppia estorsione, rubare i dati prima di cifrarli, siano diventate prassi standard in molteplici operazioni ransomware, non solo in quelle nominate in questa particolare rassegna.

Una condanna rara: la sentenza dell'affiliato Conti

Tra le notizie sulle violazioni, la rassegna ha anche riportato un esito legale concreto: un tribunale statunitense ha condannato un cittadino ucraino a quattro anni di prigione per il suo ruolo negli attacchi ransomware Conti. Conti è stata una delle operazioni ransomware più prolifiche e distruttive degli ultimi anni, estorcendo un gran numero di organizzazioni prima che la sua infrastruttura fosse smantellata. Le condanne direttamente legate al gruppo sono state rare, il che rende questa sentenza degna di nota anche se il ruolo dell'individuo era solo un tassello di un'impresa criminale molto più ampia.

Il caso è un promemoria del fatto che l'azione delle forze dell'ordine contro gli operatori ransomware avviene davvero, anche anni dopo un attacco, ma raramente avviene alla scala o con la velocità necessarie per prevenire nuove violazioni nel frattempo. Le vulnerabilità zero-day di Windows attivamente sfruttate, anch'esse segnalate nella stessa rassegna, sottolineano che gli attaccanti continuano a trovare nuovi punti di ingresso anche mentre i vecchi casi fanno il loro corso nei tribunali.

Cosa significa per te

Se tu o un membro della tua famiglia avete avuto a che fare con un fornitore di cure palliative, una compagnia assicurativa o un servizio farmaceutico collegato a questi incidenti, vale la pena trattare le vostre cartelle mediche e assicurative come potenzialmente esposte. Le violazioni dei dati sanitari come queste spesso non producono frodi finanziarie immediate, ma le informazioni mediche e identitarie rubate possono circolare per mesi o anni prima di essere utilizzate in modo improprio.

Per gli utenti comuni, alcune abitudini pratiche fanno molta strada: monitorare gli estratti assicurativi per reclami sconosciuti, prestare attenzione alle email di phishing che fanno riferimento a fornitori medici reali e usare password uniche per i portali sanitari. Quando si accede a conti medici sensibili su reti pubbliche o condivise, una VPN aggiunge un livello di protezione cifrando la connessione, anche se non impedirà una violazione dalla parte del fornitore. La vera difesa contro incidenti come la violazione di OnePoint Patient Care deve venire dalle organizzazioni che detengono i dati, non solo dagli individui a cui i dati appartengono.

Punti chiave

  • Verifica la presenza di notifiche di violazione se hai utilizzato di recente servizi di cure palliative, farmacie o servizi medici correlati, e leggile attentamente invece di scorrerle rapidamente.
  • Richiedi periodicamente una copia delle tue cartelle mediche e degli estratti di benefici assicurativi per individuare precocemente attività non autorizzate.
  • Usa credenziali forti e uniche su ogni portale sanitario, e abilita l'autenticazione multifattoriale dove è offerta.
  • Tratta le rivendicazioni dei gruppi ransomware con cautela ma non con scetticismo totale; la verifica richiede tempo, ma l'esposizione sottostante è spesso reale.
  • Sii consapevole che condanne come quella dell'affiliato Conti dimostrano che la responsabilità è possibile, ma la prevenzione dipende ancora dalle pratiche di sicurezza delle organizzazioni a cui affidi i tuoi dati.