Il 1° maggio 2022 un attacco ransomware colpisce l’ospedale Sacco di Milano, travolgendo 500 server. Ricostruiamo il caso, la rivendicazione di Vice Society e cosa insegna.
Il 1° maggio 2022 un attacco hacker colpisce l’ospedale Sacco di Milano. L’aggressione ha inizio intorno alle 15:00 e viene rivendicata oltre un mese dopo dalla cybergang Vice Society, con l’obiettivo di sempre: chiedere un riscatto in denaro per non diffondere i dati sensibili rubati. In questo articolo analizziamo come si è sviluppato l’attacco ransomware ai danni dell’ASST Fatebenefratelli-Sacco e le sue conseguenze.
Cosa è successo
L’attacco ha causato ripercussioni su tutte le sedi collegate, travolgendo circa 500 server dell’infrastruttura IT. Per farsi un’idea della portata basta elencare i presidi coinvolti: l’ASST Sacco comprende l’Ospedale Luigi Sacco, il Fatebenefratelli e Oftalmico, il presidio Macedonio Melloni, l’Ospedale dei Bambini Vittore Buzzi, oltre a nove consultori familiari e un SERT.
Dalle 15:00 del 1° maggio sono stati resi inaccessibili sito e piattaforme gestionali interne, i portali di prenotazione online, e soprattutto cartelle cliniche e dati sensibili di pazienti e dipendenti. Il personale ha dovuto lavorare senza poter accedere alle cartelle cliniche, perché tutti i dati erano crittografati dal ransomware, con disagi anche a Pronto Soccorso e Punti Prelievo. Ci sono voluti diversi giorni prima che CUP e sportelli riprendessero a funzionare nei quattro presidi; la posta elettronica interna è stata l’ultimo servizio ripristinato, in quanto potenziale veicolo di infezione. L’azienda ha denunciato l’accaduto alla Polizia Postale e alla Procura, che ha aperto un fascicolo per accesso abusivo ai sistemi informatici e distruzione di dati.
La rivendicazione di Vice Society
Inizialmente l’attacco era stato classificato come ransomware per via delle cartelle cliniche criptate, ma senza alcuna rivendicazione: il che faceva sospettare un evento collaterale al conflitto russo-ucraino, scoppiato pochi mesi prima. La rivendicazione è arrivata solo a fine giugno 2022, dal gruppo Vice Society, confermando la natura ransomware dell’attacco e facendo emergere un dettaglio inquietante.
L’aspetto più allarmante fu la scoperta che le informazioni di accesso alla rete ospedaliera erano in vendita sul dark web già da gennaio 2022 — mesi prima dell’attacco vero e proprio. Si trattava dello schema noto come Access-as-a-Service, la cui figura chiave è l’Initial Access Broker, specializzato nell’esfiltrazione e nella rivendita di credenziali. È un dettaglio che racconta molto di come funzionano gli attacchi moderni: chi cifra i sistemi spesso non è chi ha ottenuto l’accesso iniziale, ma lo ha comprato.
Nel caso Sacco le credenziali di accesso erano in vendita mesi prima dell’attacco. Il nostro Vulnerability Assessment, certificato ISO 27001, individua gli accessi esposti e le credenziali deboli dei vostri sistemi, così da chiuderli prima che diventino la porta d’ingresso di un attacco.
Come è stata affrontata l’emergenza
In una nota della Direzione Sanitaria si apprende che erano state attivate le procedure di emergenza per limitare i disservizi. La risposta è partita da un’analisi tecnica per determinare il raggio d’azione della minaccia e i sistemi effettivamente indisponibili, così da definire una strategia di ripristino nel minor tempo possibile. Dalle analisi emerse che l’attacco aveva colpito l’infrastruttura applicativa, rendendo indisponibili i sistemi agli utilizzatori, ma non si era esteso alle principali banche dati aziendali.
Individuata tipologia e vastità dell’attacco, è partito il ripristino progressivo dei servizi, con la reinstallazione completa degli ambienti di gestione applicativa e il recupero dai backup che l’azienda aveva archiviato su supporti dedicati e non intaccati dal ransomware. Anche qui, come negli altri casi che hanno colpito la sanità italiana, è stato il backup a fare la differenza tra un disastro permanente e un disservizio recuperabile.
Cosa insegna il caso Sacco
L’attacco all’ospedale Sacco, insieme a episodi analoghi come l’Asp di Messina, le ASL di Modena e l’azienda ospedaliera di Verona, dimostra due cose: i criminali informatici sono sempre più spietati, e gli effetti di un attacco hanno conseguenze dirette nel mondo reale, arrivando a mettere a rischio la salute delle persone.
Perché tanto accanimento sulla sanità? Perché le strutture custodiscono dati altamente sensibili e, dovendo garantire l’operatività continua, sono più disposte a pagare pur di riottenere i servizi. Il caso Sacco aggiunge però una lezione specifica: la compromissione era iniziata da credenziali vendute mesi prima, il che sposta la difesa a monte — sul controllo di quali accessi aziendali circolano già nei mercati clandestini. È l’approccio che proponiamo con la cybersecurity per il settore sanitario: un percorso di vulnerability assessment e penetration test dedicato a ospedali e strutture sanitarie, per individuare accessi esposti e vulnerabilità prima che diventino un attacco.
Le credenziali finite sul dark web arrivano spesso da un phishing o da un infostealer che colpisce un singolo dipendente. La nostra Academy forma il personale sanitario a riconoscere queste minacce e a proteggere gli accessi, chiudendo la porta più usata dagli attaccanti.
- Autore articolo
- Gli ultimi articoli
Sono CTO, socio della società Onorato Informatica e il Direttore del Security Operations Center.
Aiuto le imprese e i professionisti a progettare e implementare servizi di sicurezza informatica e a difendersi dagli attacchi informatici di hacker e virus.
Da oltre vent’anni mi occupo di linguaggi di programmazione: C, C++, C#, VB.NET, HTML, PHP e JAVA. Dirigo lo sviluppo e la gestione soluzioni di sicurezza informatica per aziende e enti tramite servizi di Web Security, Network Security, Anti-DDoS, Intrusion Prevention Systems, Perimeter Security, Network Segmentation, Security Information and Event Management, Threat and Vulnerability Management.
A differenza delle classiche soluzioni di sicurezza informatica, noi lavoriamo con servizi sviluppati internamente ad alte performance; utilizziamo solo tecnologie esclusive e certificate.
Inoltre, negli ultimi 10 anni ci siamo specializzati nella pianificazione, progettazione e implementazione dei servizi di Vulnerability Assessment e Penetration Test di sistemi e infrastrutture, comprese WebApp, Mobile e IoT.