Il costo degli attacchi informatici nel settore sanitario e come prevenirli

Le organizzazioni sanitarie hanno accelerato la trasformazione digitale in ambiti quali le cartelle cliniche elettroniche, i dispositivi medici connessi, la telemedicina, i flussi di lavoro assicurativi e i servizi basati sul cloud. Questa digitalizzazione migliora l’accesso alle cure e l’efficienza operativa, ma amplia anche la superficie di attacco.

Il costo degli attacchi informatici nel settore sanitario è particolarmente elevato perché un singolo incidente può avere ripercussioni che vanno oltre i sistemi IT. Gli attacchi informatici possono ritardare le cure, compromettere la gestione delle prescrizioni e delle richieste di rimborso assicurativo, esporre le informazioni sanitarie protette (PHI), far scattare obblighi legali e minare la fiducia dei pazienti. Questo articolo del blog spiega perché questi attacchi sono così pericolosi, quali sono i fattori che determinano i costi degli attacchi informatici nel settore sanitario e quali misure di prevenzione e ripristino possono ridurne l’impatto.

Dite no ai riscatti con NAKIVO

Utilizza i backup per un ripristino rapido dei dati in seguito ad attacchi ransomware. Numerose opzioni di ripristino, archiviazione locale e sul cloud immutabile, scansione dei backup per rilevare i malware e molto altro ancora.

RILEVA LA SOLUZIONE

Perché gli attacchi informatici nel settore sanitario sono così pericolosi

Le organizzazioni sanitarie operano con un Profilo di rischio diverso rispetto alla maggior parte dei settori. Quando i sistemi subiscono un guasto nel settore della vendita al dettaglio, in quello finanziario o manifatturiero, le conseguenze principali sono spesso di natura finanziaria o operativa. Nel settore sanitario, i tempi di inattività possono influire sulle decisioni cliniche, sulla risposta alle emergenze e sugli esiti dei pazienti.

Ospedali e cliniche si affidano a sistemi interconnessi per coordinare l’assistenza, tra cui cartelle cliniche elettroniche (EHR), cartelle mediche elettroniche (EMR), sistemi di laboratorio, piattaforme di diagnostica per immagini, strumenti per la somministrazione dei farmaci e dispositivi connessi quali ventilatori, pompe per infusione, apparecchi per la risonanza magnetica (RM) e monitor cardiaci. Se un malware disabilita un sistema critico, l’interruzione può estendersi a tutti i reparti.

Gli attacchi informatici nel settore sanitario possono portare a:

• Interventi chirurgici ritardati o annullati
• Deviazioni delle ambulanze
• Accesso interrotto alle cartelle cliniche digitali dei pazienti
• Ritardi nella diagnostica e nei risultati di laboratorio
• Ritardi nella somministrazione dei farmaci
• Flussi di lavoro manuali che rallentano le équipe cliniche

I dati sensibili dei pazienti aumentano ulteriormente la posta in gioco. Le cartelle cliniche possono includere dettagli identificativi, numeri di assicurazione, anamnesi, prescrizioni, informazioni di fatturazione e recapiti dei familiari. Gli autori degli attacchi possono utilizzare questi dettagli per furti di identità, frodi assicurative, attività illegali relative alle prescrizioni e attacchi successivi più convincenti.

I tempi di inattività aggravano questi rischi. Quando il personale ricorre alle cartelle cartacee, agli ordini manuali e al coordinamento offline, l’intera struttura subisce un rallentamento. L’impatto sulla sicurezza dei pazienti è ciò che rende le minacce alla sicurezza informatica nel settore sanitario più gravi rispetto a molti altri rischi aziendali.

Il costo reale degli attacchi informatici nel settore sanitario

I costi degli attacchi informatici nel settore sanitario vanno ben oltre le richieste di riscatto. L’impatto totale può comprendere la risposta agli incidenti, il ripristino dei dati, i tempi di inattività operativa, le interruzioni delle attività cliniche, l’esposizione a rischi normativi, i contenziosi, il danno reputazionale e le misure correttive di sicurezza a lungo termine.

Il costo delle violazioni dei dati nel settore sanitario rimane tra i più elevati in tutti i settori. Il rapporto IBM “2025” Rapporto sui costi di una violazione dei dati indica il settore sanitario come il più costoso in termini di violazioni per il 14° anno consecutivo, con un costo medio per violazione pari a 7,42 milioni di dollari e un tempo medio di identificazione e contenimento di 279 giorni.

Il costo degli attacchi informatici nel settore sanitario comprende in genere:

• Costi diretti di risposta: Analisi forense, supporto di emergenza in materia di sicurezza informatica, contenimento, rimozione di malware, ricostruzione dei sistemi e ripristino dei dati.
• Interruzione delle operazioni: appuntamenti annullati, fatturazione ritardata, procedure rinviate, riduzione della capacità clinica e straordinari per i team di ripristino.
• Impatto clinico: ritardi nella diagnostica, interruzione delle prescrizioni, deviazione delle ambulanze e rallentamento dell’accoglienza dei pazienti.
• Esposizione normativa e legale: notifica delle violazioni, indagini sulla privacy, potenziali sanzioni e azioni legali.
• Pressioni legate al riscatto e all’estorsione: richieste di pagamento per la decrittografia, la non divulgazione dei dati rubati o entrambe.
• Danno alla reputazione: perdita di pazienti, preoccupazioni dei partner e minore fiducia da parte dei medici che inviano pazienti o degli enti pagatori.

Il costo degli attacchi di ransomware nel settore sanitario può essere particolarmente grave perché gli aggressori spesso combinano la crittografia con il furto di dati. Anche se un’organizzazione paga, non vi è alcuna garanzia che i sistemi vengano ripristinati rapidamente o che i dati rubati non vengano divulgati in seguito. Il pagamento incoraggia inoltre ulteriori attacchi e non dovrebbe sostituire una strategia di ripristino testata.

I costi della prevenzione sono solitamente più prevedibili rispetto a quelli del ripristino dopo un incidente grave. I controlli di sicurezza, l’infrastruttura di backup, i test, la supervisione dei fornitori e la formazione del personale richiedono investimenti, ma possono ridurre i tempi di inattività, limitare i movimenti laterali e favorire un ripristino più rapido quando si verifica un incidente.

Esempi reali di attacchi informatici nel settore sanitario

I seguenti incidenti mostrano come gli attacchi informatici nel settore sanitario possano compromettere le infrastrutture nazionali, l’erogazione delle cure a livello regionale e la protezione dei dati dei pazienti.

Attacco a Change Healthcare (2024)

L’attacco a Change Healthcare è diventato uno degli attacchi informatici nel settore sanitario con le conseguenze più gravi negli Stati Uniti. Nel febbraio 2024, gli autori dell’attacco associati ad ALPHV/BlackCat hanno ottenuto l’accesso utilizzando credenziali compromesse e un portale di accesso remoto privo di autenticazione a più fattori (MFA). Change Healthcare ha successivamente confermato un’interruzione della rete che ha compromesso l’elaborazione delle richieste di rimborso, le transazioni farmaceutiche e altri servizi di back-end in tutto il sistema sanitario.

La stima dell’impatto della violazione è aumentata dopo la stesura della bozza originale. Ad agosto 2025, l’elenco delle violazioni del Dipartimento della Salute e dei Servizi Umani degli Stati Uniti indicava che l’incidente aveva colpito circa 192,7 milioni di persone, rendendolo la più grande violazione di dati sanitari segnalata negli Stati Uniti fino a quel momento. Si ritiene che le informazioni divulgate includessero i codici identificativi degli assicurati, le diagnosi dei pazienti, le informazioni sulle cure, i numeri di previdenza sociale e i codici di fatturazione.

L’azienda ha pagato un riscatto di 22 milioni di dollari, ma le notizie riportate dai media e le testimonianze hanno dimostrato che il pagamento non ha eliminato né l’onere del ripristino dei dati né il rischio di esposizione dei dati. Per mesi gli operatori sanitari hanno dovuto affrontare problemi di liquidità, ritardi nell’elaborazione delle richieste di rimborso, interruzioni nella prescrizione dei farmaci e arretrati amministrativi.

Interruzioni del servizio del NHS causate dal ransomware

Il Servizio Sanitario Nazionale del Regno Unito (NHS) ha subito diversi incidenti informatici che dimostrano come il ransomware possa compromettere l’erogazione delle cure su larga scala. Durante l’attacco WannaCry del 2017, sono stati colpiti almeno 81 trust del NHS e 603 strutture di assistenza primaria e altre organizzazioni del NHS. NHS England ha identificato 6.912 appuntamenti annullati e ha stimato che in totale ne sarebbero stati annullati più di 19.000. Il Dipartimento della Salute e dell’Assistenza Sociale ha successivamente stimato il costo in 92 milioni di sterline, inclusi la perdita di produttività e i costi di ripristino dei sistemi informatici.

Più recentemente, la Attacco ransomware del giugno 2024 contro Synnovis, un’azienda che collabora con i principali ospedali londinesi, ha causato gravi interruzioni nei servizi di analisi del sangue e in altri servizi di patologia. L’NHS England ha segnalato la cancellazione di appuntamenti e interventi chirurgici nella zona sud-est di Londra, mentre Synnovis ha dichiarato che l’attacco ha ridotto la sua capacità di elaborare i campioni.

Questi incidenti dimostrano che i rischi per la sicurezza informatica nel settore sanitario vanno oltre i singoli ospedali. Un singolo servizio condiviso, un fornitore di servizi di analisi cliniche o un fornitore di tecnologia può compromettere l’erogazione delle cure in più organizzazioni.

Violazione dei dati di SingHealth

Il caso di Violazione dei dati di SingHealth del 2018 a Singapore dimostra che gli attacchi informatici nel settore sanitario non si limitano al ransomware e ai tempi di inattività. Gli autori dell’attacco hanno sottratto i dati personali di circa 1,5 milioni di pazienti che si sono recati presso le cliniche ambulatoriali specialistiche e i policlinici di SingHealth tra maggio 2015 e luglio 2018. Hanno inoltre avuto accesso alle cartelle relative ai farmaci dispensati a circa 160.000 pazienti.

Il Ministero della Salute di Singapore ha riferito che i dettagli delle diagnosi, i risultati dei test e le note dei medici non sono stati compromessi e che i servizi sanitari non hanno subito interruzioni. Anche in assenza di tempi di inattività operativa, l’incidente rimane un esempio significativo di quanto siano preziosi i dati sanitari per gli autori di attacchi sofisticati.

Gli attacchi informatici più comuni che prendono di mira il settore sanitario oggi

Le minacce alla sicurezza informatica nel settore sanitario di solito sfruttano gli stessi punti deboli riscontrati in altri settori: Credenziali, e-mail, sistemi privi di patch, accessi con privilegi eccessivi e dipendenze da terze parti. La differenza sta nel fatto che gli ambienti sanitari sono più difficili da garantire la sicurezza perché combinano sistemi legacy, requisiti di operatività clinica, dispositivi medici connessi e dati sensibili dei pazienti.

Ransomware

Il ransomware rimane una delle minacce più dannose per i sistemi sanitari. Ransomware come servizio (RaaS) ha abbassato la barriera per gli aggressori, mentre le tattiche di doppia estorsione aumentano la pressione combinando la crittografia con il furto di dati.

Un tipico ransomware nel settore sanitario attacco può includere le seguenti fasi:

1. Ottenere l’accesso iniziale tramite phishing, credenziali rubate, servizi di rete privata virtuale (VPN) o protocollo desktop remoto (RDP) esposti, oppure server privi di patch.
2. Escalare i privilegi e muoversi lateralmente all’interno della rete.
3. Disabilitare gli strumenti di sicurezza, eliminare le copie shadow o prendere di mira i backup.
4. Crittografare i dati su server, sistemi EHR/EMR, condivisioni di file, sistemi di imaging o carichi di lavoro collegati.
5. Richiedere un pagamento per la decrittografia, la non divulgazione dei dati rubati o entrambe le cose.

Gli attacchi di furto di dati su larga scala si concentrano sul furto di dati sensibili dei pazienti, piuttosto che sulla crittografia o sull’interruzione del servizio. Questo tipo di attacco alla sicurezza informatica nel settore sanitario è finalizzato alla frode assicurativa, al furto di identità, allo spionaggio da parte di Stati-nazione e alla vendita sul mercato nero di cartelle cliniche e altre informazioni sanitarie protette.

Il ransomware non sempre “distrugge” i dati in modo permanente, ma può rendere i sistemi indisponibili, corrompere i file, cancellare i punti di ripristino e interrompere le operazioni fino al ripristino di backup o repliche puliti. Ecco perché l’isolamento dei backup, l’immutabilità e i test di ripristino sono essenziali.

Attacchi alla catena di fornitura

Le organizzazioni sanitarie dipendono da fornitori terzi per la fatturazione, i servizi di patologia, i sistemi di radiologia, le applicazioni ospitate nel cloud, i dispositivi medici, i servizi IT gestiti e le apparecchiature di rete. Questa dipendenza crea un rischio per la catena di approvvigionamento, poiché un unico fornitore compromesso può avere ripercussioni su molti clienti del settore sanitario.

Gli attacchi alla catena di approvvigionamento possono riguardare:

• Aggiornamenti software compromessi
• Account di accesso remoto dirottati
• Backdoor nei sistemi dei fornitori
• Ransomware che si diffonde da un MSP (Managed Service Provider) o da una piattaforma condivisa
• Furto di dati da fornitori di servizi di fatturazione, liquidazione sinistri, patologia o provider cloud

Gli ospedali possono avere una visibilità limitata sulle pratiche di sicurezza dei fornitori, ma gli aggressori ne sono ben consapevoli queste dipendenze. Un singolo fornitore vulnerabile può aprire una via d’accesso ai dati dei pazienti, ai flussi di lavoro relativi alle richieste di rimborso o ai servizi clinici in un’intera regione.

Phishing, BEC e furto di credenziali

Phishing rimangono ancora oggi uno dei modi più semplici per penetrare nelle reti sanitarie. Gli autori degli attacchi inviano e-mail fraudolente che inducono gli utenti ad aprire allegati dannosi, a cliccare su link o a inserire le proprie credenziali su pagine di accesso fasulle. Il personale sanitario è spesso preso di mira poiché gestisce comunicazioni urgenti provenienti da pazienti, fornitori, assicuratori, laboratori e reparti interni.

Il Business Email Compromise (BEC) è una forma più mirata di frode via e-mail. Negli attacchi BEC, gli autori delle minacce si spacciano per dirigenti, fornitori, pagatori o partner di fiducia per reindirizzare i pagamenti, richiedere file sensibili o indurre i dipendenti ad approvare attività fraudolente.

Le credenziali rubate possono anche essere utilizzate per accedere a sistemi EHR/EMR, piattaforme di fatturazione, servizi cloud, infrastrutture di virtualizzazione o portali di accesso remoto. Senza l’autenticazione a più fattori (MFA), l’accesso con privilegi minimi e il monitoraggio, un solo account compromesso può diventare il punto di partenza per l’implementazione di ransomware o il furto di dati.

Vulnerabilità nell’IoT e nei dispositivi medici

Gli ospedali utilizzano migliaia di dispositivi connessi, tra cui pompe per infusione, monitor paziente, tomografi computerizzati (TC), apparecchiature per la risonanza magnetica (RM), ventilatori, sistemi di chiamata infermieri e workstation del sistema di archiviazione e comunicazione delle immagini (PACS). Molti di essi fanno parte dell’Internet of Medical Things (IoMT), la categoria specifica per il settore sanitario di dispositivi connessi utilizzati per il monitoraggio, la diagnostica e l’erogazione delle cure.

Questi sistemi possono risultare difficili da aggiornare perché supportano flussi di lavoro clinici, si basano su firmware specializzato o devono soddisfare i requisiti di certificazione dei vendor. Gli aggressori possono sfruttare password hardcoded, firmware vulnerabili, protocolli non crittografati e servizi esposti come Server Message Block (PMI), RDP o Telnet.

Gli aggressori sfruttano password hardcoded, protocolli non crittografati, firmware vulnerabili e servizi esposti (PMI, RDP, Telnet). Nella maggior parte dei casi, gli aggressori non prendono di mira i dispositivi in sé, ma li utilizzano come punti di ingresso per ulteriori movimenti laterali. Gli aggressori utilizzano questi dispositivi come punto di ingresso a bassa sicurezza nella rete protetta dell’ospedale. Successivamente, è possibile effettuare l’implementazione del ransomware per distruggere i dati.

In molti casi, gli aggressori non hanno bisogno di controllare direttamente la funzione medica del dispositivo. Possono utilizzare dispositivi con scarsa sicurezza come punti d’appoggio per la persistenza, il movimento laterale, la ricognizione e l’eventuale implementazione di ransomware.

Come prevenire gli attacchi informatici nel settore sanitario

La sicurezza informatica nel settore sanitario dovrebbe ridurre sia la probabilità che l’impatto degli attacchi. Nessuno strumento da solo può prevenire ogni incidente, ma controlli a più livelli possono contenere le minacce prima che si trasformino in crisi cliniche o finanziarie.

Per prevenire gli attacchi informatici nel settore sanitario, le organizzazioni dovrebbero dare priorità alle seguenti misure:

1. Rafforzare la sicurezza delle identità. Rendere obbligatoria l’autenticazione a più fattori (MFA) per la e-mail, l’accesso remoto, gli account con privilegi, i servizi cloud e le console amministrative. Utilizzare il Controllo degli accessi basato sui ruoli (RBAC) e il principio del privilegio minimo, in modo che gli utenti abbiano accesso solo ai sistemi e ai dati di cui hanno bisogno.
2. Proteggere gli endpoint e i server. Implementare software antivirus, strumenti di rilevamento e risposta sugli endpoint (EDR) e monitoraggio comportamentale per individuare attività sospette. Estendere la copertura a server, VM, carichi di lavoro cloud ed endpoint utilizzati dal personale clinico e amministrativo.
3. Proteggere la posta e-mail e gli strumenti di collaborazione. Utilizzare filtri antispam, protezione dal phishing, scansione degli allegati dannosi, autenticazione dei domini e flussi di lavoro per la segnalazione da parte degli utenti.
4. Applicare patch e rafforzare la sicurezza dei sistemi. Applicare regolarmente gli aggiornamenti di sicurezza a sistemi operativi, applicazioni, hypervisor, dispositivi di rete e servizi esposti a Internet. Dare priorità alle vulnerabilità note già sfruttate e ai sistemi esposti all’esterno.
5. Segmentare la rete. Separare i sistemi clinici, le reti di amministrazione, il Wi-Fi per gli ospiti, i dispositivi medici, l’infrastruttura di backup e le interfacce di gestione. La segmentazione limita il movimento laterale quando un account o un endpoint viene compromesso.
6. Proteggere i dispositivi medici e IoMT. Tenere un inventario dei dispositivi connessi, monitorare le versioni del firmware, limitare l’accesso remoto, disabilitare i servizi non necessari e isolare i dispositivi che non possono essere aggiornati rapidamente.
7. Formare gli utenti regolarmente. Organizzare corsi di sensibilizzazione alla sicurezza che riflettano i flussi di lavoro del settore sanitario, includendo argomenti quali phishing, BEC, allegati sospetti, furto di credenziali e truffe relative a pagamenti urgenti. Rendere la segnalazione di attività sospette semplice e non punitiva.
8. Monitorare l’ambiente. Utilizzare strumenti di registrazione centralizzata, rilevamento delle anomalie, gestione delle informazioni e degli eventi di sicurezza (SIEM) o servizi di rilevamento gestiti per monitorare l’infrastruttura e individuare tempestivamente comportamenti insoliti.
9. Valutare i rischi legati a terze parti. Esaminare gli accessi dei fornitori, i requisiti di sicurezza, i termini di notifica delle violazioni e le aspettative di ripristino per i fornitori critici quali quelli di fatturazione, patologia, cloud, cartelle cliniche elettroniche (EHR/EMR) e servizi IT gestiti.
10. Preparare piani di risposta e ripristino. Mantenere risposta agli incidenti e piani di ripristino di emergenza che definiscano ruoli, percorsi di escalation, fasi di comunicazione, azioni di contenimento e priorità di ripristino. Testare regolarmente questi piani.

In che modo il backup e il ripristino di emergenza riducono i costi degli attacchi informatici

Il backup e ripristino di emergenza non impediscono l’intrusione iniziale, ma possono ridurre significativamente i costi degli attacchi informatici nel settore sanitario dopo un incidente. Backup puliti e recuperabili possono aiutare le organizzazioni a evitare la dipendenza dai riscatti, ridurre i tempi di inattività e ripristinare i servizi critici in una sequenza controllata.

Una strategia di ripristino nel settore sanitario dovrebbe includere:

• Backup regolari per i sistemi critici, inclusi server fisici, VM, database, condivisione file, dipendenze EHR/EMR e carichi di lavoro nel cloud
• Criteri di pianificazione e conservazione dei backup allineati ai requisiti clinici, legali e operativi
• Copie di backup immutabili o isolate che gli aggressori non possano modificare o eliminare dalle credenziali di produzione
• Il Regola di backup 3-2-1, con più copie di backup su diversi tipi di archiviazione e almeno una copia offsite o isolata
• Test di ripristino per confermare che i backup possano essere ripristinati entro obiettivi di tempo di ripristino (RTO) e obiettivi di punto di ripristino (RPO)
• Flussi di lavoro di ripristino documentati per scenari quali attacchi ransomware, danneggiamento dei dati, interruzione del data center, interruzione dei servizi dei fornitori e interruzione dei servizi cloud

I piani di risposta agli incidenti e di ripristino di emergenza dovrebbero integrarsi tra loro. Il piano di risposta agli incidenti dovrebbe spiegare come rilevare, contenere e segnalare un attacco informatico. Il piano di ripristino di emergenza dovrebbe definire come ripristinare i carichi di lavoro prioritari, chi approva il failover o il ripristino, come operano i team clinici durante i periodi di inattività e come vengono convalidati i sistemi ripristinati prima del ritorno in produzione.

I costi della sicurezza informatica preventiva nel settore sanitario sono solitamente più facili da pianificare rispetto alle conseguenze finanziarie, legali e relative all’assistenza ai pazienti derivanti da un grave attacco informatico. Le organizzazioni più resilienti investono prima che si verifichi un incidente, testano il ripristino prima che se ne presenti la necessità e considerano il backup e il ripristino di emergenza come parte integrante della pianificazione della sicurezza dei pazienti.

Conclusione

Le organizzazioni sanitarie devono proteggere i sistemi digitali con la stessa urgenza con cui gestiscono le operazioni cliniche. Gli attacchi informatici possono interrompere l’assistenza, esporre dati sensibili, ritardare i cicli di fatturazione e creare problemi di fiducia a lungo termine con pazienti, partner e autorità di regolamentazione.

La strategia più efficace è articolata su più livelli: controlli rigorosi delle identità, sicurezza della e-mail, applicazione delle patch, segmentazione della rete, protezione dei dispositivi medici, supervisione dei fornitori, formazione del personale, monitoraggio, risposta agli incidenti e sistemi collaudati di backup e ripristino di emergenza. Queste misure non possono eliminare ogni minaccia, ma possono ridurre il costo degli attacchi informatici nel settore sanitario e aiutare le organizzazioni a riprendersi più rapidamente quando si verificano incidenti.

Prova NAKIVO Backup & Replication

Richiedi una prova gratuita per scoprire tutte le funzionalità di protezione dei dati offerte dalla soluzione. 15 giorni gratuiti. Nessuna limitazione in termini di funzionalità o capacità. Non è obbligatoria alcuna carta di credito.

PROVA GRATUITAMENTE