Cosa hanno rubato gli ShinyHunters ad Abbott e ad altre aziende sanitarie

Una nuova ondata di attacchi legati al gruppo di hacker ShinyHunters ha colpito Abbott, il gigante diversificato della sanità e del settore farmaceutico, interrompendo le attività connesse alla ricerca sui farmaci antitumorali. Nello stesso ciclo di notizie è arrivata la conferma che la National Association of Insurance Commissioners (NAIC) ha subito una violazione in cui ShinyHunters dichiara di aver rubato 3,1 TB di dati, sfruttando una vulnerabilità zero-day di Oracle. Separatamente, Novo Nordisk, l'azienda produttrice di Ozempic e Wegovy, ha reso pubblico un proprio attacco informatico, rivelando che i dati delle sperimentazioni cliniche sono stati compromessi.

Questi episodi non sono identici per portata o attribuzione confermata, ma nel loro insieme delineano un quadro preoccupante: una violazione di dati farmaceutici che coinvolge ShinyHunters o tattiche simili non è più un evento isolato. Sta diventando una caratteristica ricorrente del settore sanitario e delle scienze della vita, in cui pipeline di ricerca, organismi di regolamentazione e produttori di farmaci custodiscono grandi quantità di dati preziosi, sempre più spesso alla portata degli hacker.

Perché i dati di sperimentazioni cliniche e cartelle cliniche sono obiettivi privilegiati per gli hacker

I dati delle sperimentazioni cliniche hanno un valore unico per gli attaccanti. Spesso includono identificativi dei pazienti, anamnesi, informazioni genetiche e dettagli su trattamenti sperimentali ancora in fase di revisione regolatoria. Per un'azienda come Abbott, una violazione che interrompe la ricerca sui farmaci antitumorali non comporta solo il rischio di esposizione dei dati; può ritardare lo sviluppo di terapie che i pazienti attendono. Per Novo Nordisk, l'esposizione dei dati degli studi clinici legati a farmaci di successo come Ozempic e Wegovy alza ulteriormente la posta in gioco, dato l'intenso interesse pubblico e finanziario per questi prodotti.

La violazione della NAIC evidenzia un rischio diverso ma correlato: le organizzazioni regolatorie e di settore che aggregano dati sensibili di più aziende diventano punti di rottura unici. Quando ShinyHunters dichiara 3,1 TB di dati rubati tramite una zero-day di Oracle, ciò sottolinea come una singola vulnerabilità non corretta in un software aziendale ampiamente utilizzato possa propagarsi a cascata su un intero settore, colpendo organizzazioni che non hanno avuto alcun ruolo diretto nel creare la falla.

Come una violazione di dati farmaceutici può portare a furto di identità e frodi assicurative

Quando i dati di pazienti o di studi clinici vengono divulgati, le conseguenze si estendono ben oltre l'azienda violata. Le cartelle cliniche contengono in genere una ricca combinazione di dati personali, tra cui nomi, date di nascita, condizioni di salute e talvolta informazioni assicurative o finanziarie. Nelle mani sbagliate, questi dati possono essere utilizzati per furti d'identità, richieste di rimborso fraudolente o campagne di phishing mirate che si spacciano per operatori sanitari o produttori di farmaci.

Non si tratta di un rischio ipotetico. Le violazioni di dati sanitari hanno ripetutamente dimostrato come i dati esposti si traducano in danni reali per i consumatori. La violazione di Hims & Hers, ad esempio, ha esposto informazioni sanitarie protette (PHI) ed è servita da caso di studio su quanto rapidamente dati medici sensibili possano finire compromessi e quali misure i pazienti interessati debbano adottare in seguito. Gli episodi di Abbott e NAIC seguono uno schema simile: una volta che i dati medici o clinici vengono rubati, diventa molto difficile contenerli, e le persone le cui informazioni sono state coinvolte spesso hanno poca visibilità su dove finiscano.

Cosa possono fare pazienti e consumatori per proteggere la propria privacy medica

I consumatori raramente hanno il controllo su come le aziende farmaceutiche, gli assicuratori o gli organismi di ricerca proteggono i propri dati, ma ci sono comunque passi concreti da compiere quando emerge una violazione di dati farmaceutici che coinvolge ShinyHunters o qualsiasi attore simile.

In primo luogo, prestare attenzione alle notifiche di violazione provenienti da qualsiasi fornitore di servizi sanitari, assicuratore o sponsor di una sperimentazione clinica con cui si è interagito, e prenderle sul serio anche se la comunicazione sembra di routine. In secondo luogo, monitorare attentamente gli estratti conto assicurativi e le fatture mediche per verificare eventuali addebiti non riconosciuti, che possono essere un segnale precoce di frode assicurativa realizzata con dettagli d'identità rubati. In terzo luogo, valutare l'attivazione di un avviso di frode o il congelamento del credito se tra i dati esposti sono presenti informazioni finanziarie. Infine, diffidare di chiamate o e-mail non richieste che facciano riferimento a una sperimentazione clinica, a una prescrizione o a una condizione di salute, poiché gli attaccanti spesso usano i dati medici rubati per rendere più credibili i tentativi di phishing.

Cosa significa per te

Se hai partecipato a una sperimentazione clinica, utilizzi un farmaco di un'azienda come Novo Nordisk o hai qualsiasi rapporto con i prodotti sanitari di Abbott, vale la pena rimanere vigili nelle prossime settimane per eventuali notifiche ufficiali di violazione. I dettagli su quali dati siano stati esattamente coinvolti e in che modo sono ancora in fase di accertamento, ma lo schema di questi incidenti mostra che i dati sanitari e farmaceutici restano un bersaglio di alto valore. Non puoi correggere da solo il software di Oracle o mettere in sicurezza i sistemi interni di Abbott, ma puoi controllare come reagire una volta che vieni a sapere che le tue informazioni potrebbero essere state coinvolte.

Punti chiave

  • Verifica se hai ricevuto una notifica diretta da Abbott, Novo Nordisk, NAIC o da un'organizzazione collegata in merito a questa violazione.
  • Monitora attentamente gli estratti conto medici e assicurativi nei prossimi mesi per eventuali attività sospette.
  • Valuta un congelamento del credito o un avviso di frode se tra i dati esposti erano presenti informazioni finanziarie.
  • Mantieni la massima cautela di fronte a tentativi di phishing in ambito sanitario che facciano riferimento a trattamenti specifici o alla partecipazione a sperimentazioni.
  • Esamina come sono state gestite altre violazioni di dati sanitari, come il caso Hims & Hers, per capire quali misure protettive dovrebbero aspettarsi i pazienti interessati.