La maggior parte degli attacchi informatici nel settore sanitario non nasce da vulnerabilità complesse, ma da esposizioni note: accessi non protetti, mancanza di segmentazione della rete o dipendenza da sistemi critici.
Il problema non è solo la compromissione iniziale, ma il modo in cui queste vulnerabilità consentono una rapida propagazione attraverso infrastrutture interconnesse. Un singolo punto compromesso può colpire contemporaneamente più sistemi, servizi o organizzazioni. Nel contesto sanitario, l’impatto di tali attacchi va oltre le violazioni di dati e incide direttamente sulla continuità dei servizi medici e sull’accesso alle cure critiche.
Nella pratica, questi attacchi seguono schemi ricorrenti, basati su metodi di accesso e propagazione che compaiono costantemente negli incidenti del settore sanitario.
Il divario infrastrutturale del settore sanitario
Metodi di attacco comuni nel settore sanitario
Violazioni di dati
Le violazioni di dati derivano spesso da credenziali compromesse, applicazioni mediche vulnerabili, servizi cloud configurati in modo errato o accessi non autorizzati. In questi casi, i dati medici e le informazioni sui pazienti vengono esposti o esfiltrati, con conseguenze legali, perdita di fiducia e danni reputazionali.
Attacchi di ingegneria sociale
L’ingegneria sociale consiste nel manipolare il personale medico, amministrativo o i partner tramite phishing, vishing, smishing o account di posta istituzionali compromessi per ottenere credenziali di accesso, introdurre malware o dirottare pagamenti.
Gli aggressori possono impersonare autorità sanitarie, fornitori di servizi medici, enti nazionali di assicurazione sanitaria o dirigenti, sfruttando i flussi interni di approvazione e le condizioni del lavoro da remoto.
Attacchi ransomware e malware
Ransomware e malware vengono usati per cifrare i sistemi, sottrarre dati e interrompere le operazioni. Sempre più spesso gli attacchi ricorrono a meccanismi di “doppia estorsione”, combinando il furto di dati con l’interruzione dei sistemi e, in alcuni casi, con attacchi DDoS.
In molti casi gli aggressori restano nell’infrastruttura per un certo periodo prima di lanciare l’attacco, mappando i sistemi critici e i backup. Il tempo di esecuzione si è ridotto in modo significativo, con una media di circa 24 ore.
Gli attacchi ransomware colpiscono direttamente i sistemi clinici (HIS, EHR, EMR), dove l’indisponibilità del sistema incide immediatamente sulle attività mediche e sull’accesso ai dati essenziali dei pazienti. Circa il 92% dei casi europei prevede sia la cifratura dei file sia l’esfiltrazione dei dati.
Attacchi alla catena di fornitura
Gli attacchi alla catena di fornitura consistono nel compromettere applicazioni mediche di terze parti, fornitori di servizi IT o processi esternalizzati per ottenere un accesso indiretto a ospedali e cliniche.
Gli aggressori sfruttano strumenti di amministrazione remota, aggiornamenti software, servizi cloud o canali di scambio di dati medici per aggirare i controlli di sicurezza e ottenere un accesso legittimo all’interno della rete.
Furto di credenziali
Il furto di credenziali avviene comunemente tramite false notifiche che imitano comunicazioni di ospedali o di autorità sanitarie nazionali, allo scopo di catturare le credenziali di accesso.
Gli attacchi includono anche reindirizzamenti tramite codici QR verso pagine dannose e l’uso di infostealer (ad es. RedLine, Vidar) per raccogliere automaticamente le credenziali. Cresce inoltre la tendenza a vendere online credenziali sanitarie compromesse, inclusi accessi VPN o RDP alle reti ospedaliere.
Come si manifestano in pratica i cyberattacchi nel settore sanitario
1. Ospedale AZ Monica, Anversa, Belgio – 2026
Un cyberattacco all’ospedale AZ Monica ha causato interruzioni dei sistemi informatici e limitato l’attività medica.
Sono stati cancellati oltre 70 interventi chirurgici e i pazienti sono stati trasferiti in altre strutture. L’accesso alle cartelle cliniche elettroniche non era disponibile e il ripristino ha richiesto circa un mese. Questo caso evidenzia l’impatto diretto delle interruzioni dei sistemi sulle attività mediche.
2. Synnovis / NHS UK – 2024
Un attacco ransomware a Synnovis, fornitore di servizi di laboratorio per gli ospedali del NHS a Londra, ha inciso direttamente sulla capacità diagnostica di più unità mediche.
Sono state cancellate oltre 1.100 procedure e la capacità di elaborazione dei laboratori è diminuita in modo significativo. Allo stesso tempo, circa 400 GB di dati medici sono stati esfiltrati e pubblicati, con un ripristino completo dei sistemi stimato in oltre 17 mesi.
3. Attacco ransomware agli ospedali rumeni – 2024
Un attacco ransomware rivolto alla piattaforma HIS Hipocrate ha colpito diverse istituzioni mediche in Romania, diffondendosi rapidamente a causa della mancanza di segmentazione.
I dati sono stati cifrati in 26 ospedali, mentre oltre 100 strutture sono state disconnesse per precauzione. In alcuni casi l’attività medica è tornata temporaneamente a processi manuali. Il riscatto (~3,5 BTC) non è stato pagato. L’incidente mostra come la mancanza di segmentazione consenta una rapida diffusione tra più organizzazioni.
4. Change Healthcare / UnitedHealth – 2024
Un cyberattacco a Change Healthcare ha colpito oltre 100 milioni di persone e interrotto processi critici come la fatturazione e le catene di approvvigionamento farmaceutico. L’accesso iniziale è stato ottenuto tramite credenziali compromesse, rendendolo la più grande violazione nella storia del settore sanitario.
5. Gruppi filorussi (Killnet) – 2023–2024
Tra il 2023 e il 2024, diversi ospedali in Europa, tra cui in Danimarca, Germania e Paesi Bassi, sono stati bersaglio di attacchi DDoS coordinati riconducibili a gruppi filorussi come Killnet.
Questi attacchi non hanno comportato la compromissione dei sistemi né l’esfiltrazione di dati, ma hanno inciso sulla disponibilità dei servizi digitali, comprese le piattaforme online utilizzate da pazienti e personale.
In definitiva, la cybersicurezza è efficace solo quando tecnologia, processi e fattore umano lavorano insieme in modo integrato. La formazione regolare, le simulazioni di attacchi di phishing e la consapevolezza dei rischi svolgono un ruolo decisivo nella riduzione della superficie di attacco.
Expertware, in collaborazione con la Direzione Nazionale per la Cybersicurezza (DNSC), organizza regolarmente webinar dedicati alla consapevolezza dei rischi in vari settori, l’ultimo dei quali ha riguardato il settore sanitario. La presentazione è disponibile qui.
Come gestire questi rischi
Nelle infrastrutture sanitarie l’obiettivo non è una completa revisione dell’architettura, ma la rapida riduzione dell’esposizione e dei tempi di rilevamento.
L’uso di strumenti separati per vulnerabilità, monitoraggio o audit genera spesso zone d’ombra in cui l’attività sospetta non può essere analizzata in tempo. In tali condizioni, gli incidenti vengono rilevati in ritardo e il loro impatto si estende alle operazioni. In questo contesto il problema non è più la mancanza di dati, ma la mancanza di correlazione tra di essi.
Il ruolo di una piattaforma di sicurezza integrata
Nel contesto dei requisiti NIS2, queste funzionalità diventano essenziali per garantire monitoraggio continuo, gestione del rischio e segnalazione degli incidenti. La piena visibilità sull’infrastruttura, l’inventario degli asset e la correlazione dei dati in tempo reale consentono alle organizzazioni sanitarie di soddisfare i requisiti di conformità riducendo al contempo i rischi operativi.
Una piattaforma come SIEMBIOT risponde a questa esigenza centralizzando e analizzando i dati in un unico punto. La differenza non sta nel volume dei dati raccolti, ma nella capacità di correlarli e interpretarli in un contesto operativo.
A livello tecnico, la piattaforma correla gli eventi dell’infrastruttura (log, autenticazioni, traffico) con le vulnerabilità esistenti, l’effettivo livello di esposizione e l’intelligence esterna sulle minacce (CTI), come credenziali compromesse o indicatori di compromissione.
Di conseguenza, non evidenzia soltanto vulnerabilità o alert, ma anche il loro contesto: che cosa è critico, che cosa è sfruttabile e dove si verifica l’attività sospetta.
In definitiva, la cybersicurezza è efficace solo quando tecnologia, processi e fattore umano lavorano insieme in modo integrato. La formazione regolare, le simulazioni di attacchi di phishing e la consapevolezza dei rischi svolgono un ruolo decisivo nella riduzione della superficie di attacco.
Expertware, in collaborazione con la Direzione Nazionale per la Cybersicurezza (DNSC), organizza regolarmente webinar dedicati alla consapevolezza dei rischi in vari settori, l’ultimo dei quali ha riguardato il settore sanitario. La presentazione è disponibile qui.
Cause dei cyberattacchi nel settore sanitario
I cyberattacchi nel settore sanitario non dipendono solo dai vettori di attacco, ma anche dalle caratteristiche delle infrastrutture IT ospedaliere, che limitano le capacità di prevenzione e risposta.
Molti dispositivi medici funzionano su sistemi legacy (Windows XP/7), con cicli di vita di 10–15 anni e senza supporto del fornitore. In questi casi l’applicazione di patch è limitata o impossibile, lasciando i sistemi esposti per lunghi periodi.
Allo stesso tempo, le reti spesso non sono segmentate e usano VLAN condivise tra ambienti amministrativi, clinici e IoMT. Una volta ottenuto l’accesso iniziale, il movimento laterale diventa rapido e difficile da controllare.
I sistemi critici come HIS o EHR operano in modo continuo, senza vere finestre di manutenzione. Qualsiasi interruzione incide direttamente sull’attività medica, limitando la possibilità di applicare aggiornamenti di sicurezza o interventi.
Inoltre, molti protocolli utilizzati negli ambienti sanitari, come DICOM, HL7v2 o Telnet, non sono stati progettati pensando alla sicurezza e non supportano i moderni meccanismi di protezione, aumentando la superficie di attacco.
Infine, la mancanza di solide strategie di backup o il collaudo insufficiente dei processi di ripristino rendono il recupero dopo un incidente difficile e lungo.
Monitoraggio 24/7 e rilevamento in tempo reale
Il monitoraggio continuo consente di individuare rapidamente le attività sospette, anche al di fuori dell’orario di lavoro o nei periodi di personale ridotto, quando i segnali precoci vengono spesso trascurati.
In un modello SIEMBIOT con SOC/MDR 24×7, log, telemetria e alert provenienti da più fonti vengono correlati in tempo reale e gli eventi sospetti vengono prioritizzati e analizzati rapidamente. Ciò riduce in modo significativo i tempi di risposta (da settimane a ore o giorni) e limita la diffusione degli incidenti nell’infrastruttura, inclusi gli ambienti critici.
Senza un monitoraggio continuo, il tempo per identificare un attacco e il periodo in cui resta non rilevato (“tempo di permanenza”) possono estendersi a settimane o mesi, dando agli attaccanti il tempo per il movimento laterale, l’elevazione dei privilegi e la preparazione di un impatto operativo.
Allo stesso tempo, l’integrazione di dati esterni consente di correlare l’esposizione esterna con l’attività interna, offrendo visibilità sui rischi reali. Senza un simile approccio, gli attacchi restano non rilevati finché il loro impatto operativo non diventa visibile.
Come testare la piattaforma SIEMBIOT
La piattaforma SIEMBIOT può essere provata gratuitamente per 3 mesi grazie a un finanziamento europeo disponibile fino a giugno.
L’implementazione non richiede grandi modifiche all’infrastruttura, ma consente di aumentare gradualmente la visibilità sul sistema. Inizialmente i log vengono centralizzati e si individuano le esposizioni critiche; seguono il monitoraggio continuo e la correlazione degli eventi e, infine, il test dei processi di risposta e la generazione di rapporti di conformità.
Per valutare la piattaforma in un contesto reale, compili il modulo di contatto e il team le fornirà ulteriori dettagli.
30 giorni di difesa informatica di livello aziendale
Entri nel futuro della cybersicurezza con accesso completo a una piattaforma unificata e intelligente — gratis per 30 giorni. Potenzi il suo team di sicurezza con:
SIEM avanzato per visibilità in tempo reale, alert intelligenti e analisi forense approfondita in ambienti cloud, on-premise e ibridi
Gestione continua delle vulnerabilità per identificare, assegnare priorità e risolvere i rischi su tutti gli asset
Intelligence sulle minacce informatiche in tempo reale integrata direttamente nei suoi flussi di lavoro, con informazioni globali e profili degli attaccanti
Rilevamento delle minacce basato su IA che apprende dal suo ambiente, spiega gli alert in linguaggio semplice e suggerisce i passi successivi
Preparazione alla conformità integrata per NIS2, GDPR, ISO 27001 e altro, con reportistica automatizzata e strumenti di audit
Che gestisca un SOC snello o un team di sicurezza aziendale su larga scala, questa piattaforma le offre gli strumenti per rilevare più velocemente, rispondere in modo più intelligente e restare un passo avanti alle minacce in evoluzione, senza la complessità.
Scopra una protezione di livello aziendale, flussi di lavoro ottimizzati e controllo totale.
Il suo vantaggio di 30 giorni inizia ora.
Sblocchi la sua prova gratuita di 30 giorni
