Un copione noto: prima rubare, poi divulgare

Le organizzazioni sanitarie si trovano ancora una volta ad affrontare la dura realtà della moderna estorsione ransomware. Secondo Healthcare IT News, il gruppo di estorsione dati ShinyHunters ha iniziato a diffondere porzioni degli 8,8 TB di dati che sostiene di aver rubato a One Medical a seguito di un attacco a sistemi legacy vulnerabili. Il rapporto fa anche riferimento a un caso separato che coinvolge AnMed, in cui al sistema sanitario sarebbe stata concessa una finestra di 72 ore per rispondere alle richieste degli aggressori, dimostrando quanto possano essere stretti i tempi una volta che un gruppo ransomware stabilisce un contatto.

Ciò che rende questo schema particolarmente preoccupante è la tattica stessa. Invece di attendere una decisione sul riscatto, gruppi come ShinyHunters spesso iniziano a pubblicare i dati rubati per gradi. È una tattica di pressione progettata per costringere le vittime a pagare rapidamente, prima che informazioni più sensibili diventino pubbliche. Per i fornitori di servizi sanitari, questa pressione è aggravata dagli obblighi normativi, dalle preoccupazioni per la fiducia dei pazienti e dal caos operativo che segue qualsiasi grave violazione.

Perché i vecchi sistemi continuano a essere il punto d'ingresso

L'attacco a One Medical avrebbe sfruttato sistemi legacy, un dettaglio che dovrebbe preoccupare chiunque presti attenzione alle tendenze della sicurezza informatica in ambito sanitario. Le infrastrutture più datate spesso mancano dei controlli di sicurezza, della cadenza di applicazione delle patch e del monitoraggio che i sistemi moderni richiedono, rendendole un bersaglio attraente per i gruppi in cerca di un punto d'accesso. Non si tratta di un problema nuovo, ma rimane un problema persistente in tutto il settore sanitario, dove i software legacy a volte permangono perché sostituirli è costoso o operativamente dirompente.

Questo fa parte di uno schema più ampio in cui sistemi obsoleti o non aggiornati diventano l'anello debole che gli aggressori sfruttano. Anche al di fuori del settore sanitario, la portata delle vulnerabilità che le organizzazioni devono gestire può essere sbalorditiva. Per contestualizzare, il Patch Tuesday di luglio 2026 di Microsoft ha risolto 622 falle in un unico rilascio, inclusi due zero-day attivamente sfruttati, un promemoria di quanta superficie d'attacco esista nei software ampiamente utilizzati anche quando i fornitori applicano attivamente le patch.

Il modello di estorsione: furto di dati senza crittografia

Gli attacchi ransomware tradizionali spesso comportavano la crittografia dei file della vittima e la richiesta di un pagamento per la chiave di decrittazione. Gruppi come ShinyHunters sono passati a un modello diverso: rubare i dati, minacciare di divulgarli e usare la fuga stessa come leva. Questo approccio può essere altrettanto dannoso, se non di più, perché salta direttamente al rischio di esposizione che le vittime temono di più. Una volta che le cartelle cliniche, le informazioni di fatturazione o i dettagli sanitari personali vengono pubblicati, non c'è modo di annullare tale esposizione.

Per i pazienti, questo cambiamento è importante perché significa che una violazione non deve necessariamente comportare un'interruzione del sistema per essere grave. I dati possono essere esfiltrati silenziosamente dai sistemi legacy molto prima che qualcuno se ne accorga, e quando inizia una fuga di dati, le informazioni sono già fuori dal controllo dell'organizzazione.

Cosa significa per te

Se sei un paziente di un fornitore di servizi sanitari colpito da un incidente come questo, ci sono alcune realtà che vale la pena comprendere. Primo, i dati sanitari sono un obiettivo di alto valore proprio perché sono completi: nomi, dettagli assicurativi, anamnesi mediche e talvolta informazioni di pagamento, tutto in un unico posto. Secondo, una volta che gli aggressori dichiarano di aver rubato i dati, la tempistica della fuga è spesso fuori dal tuo controllo e anche fuori dal controllo del fornitore di servizi sanitari.

Questo non significa che tu sia impotente. I pazienti colpiti da violazioni come l'incidente di One Medical dovrebbero prestare attenzione alle notifiche ufficiali di violazione, monitorare le dichiarazioni assicurative e mediche per attività sconosciute e prendere in considerazione il monitoraggio del credito se viene offerto. Vale anche la pena essere cauti riguardo ai tentativi di phishing che possono seguire una fuga di dati, poiché gli aggressori a volte usano i dati rubati per creare truffe successive convincenti.

Sul fronte della privacy, incidenti come questo alimentano anche conversazioni più ampie su quanti dati personali le organizzazioni, sanitarie o meno, dovrebbero proteggere. Gli strumenti di comunicazione che danno priorità alla crittografia, come Tuta, riflettono un crescente interesse nel ridurre la dipendenza da sistemi centralizzati che possono diventare singoli punti di fallimento. Allo stesso modo, mentre gli utenti comuni cercano modi per ridurre la propria esposizione, alcuni si rivolgono a strumenti di sicurezza integrati; ad esempio, la mossa di NordVPN di aggiungere una protezione antivirus integrata riflette una tendenza più ampia dei consumatori a volere difese stratificate piuttosto che fare affidamento su un'unica salvaguardia.

Consigli pratici

Se ritieni di poter essere interessato da una violazione di dati sanitari come l'incidente di One Medical:

  • Presta attenzione alle lettere o alle e-mail di notifica ufficiale da parte del fornitore e verifica la loro autenticità prima di cliccare su qualsiasi link.
  • Monitora le dichiarazioni di spiegazione dei benefici assicurativi e le fatture mediche per addebiti sconosciuti.
  • Prendi in considerazione l'attivazione di un avviso di frode o il congelamento del credito se sono stati coinvolti dati finanziari o di identità.
  • Sii scettico riguardo a chiamate o e-mail non richieste che fanno riferimento alla tua storia medica, poiché potrebbero essere tentativi di phishing successivi.
  • Chiedi direttamente al tuo fornitore quali dati sono stati coinvolti e quali misure correttive stanno adottando.

Gli attacchi ransomware e di estorsione contro le organizzazioni sanitarie non stanno rallentando, e il passaggio verso le fughe di dati come leva significa che i pazienti devono rimanere vigili anche dopo che i titoli iniziali svaniscono. Rimanere informati, verificare le comunicazioni e monitorare i propri account rimangono le difese più pratiche disponibili in questo momento.