Il 15 aprile 2022 l’Azienda Sanitaria Provinciale di Messina subisce un attacco ransomware rivendicato da LockBit 2.0. Ricostruiamo il caso: come è avvenuto, le conseguenze e cosa insegna.
Il 15 aprile del 2022 l’Azienda Sanitaria Provinciale di Messina subisce un attacco hacker rivendicato dal collettivo LockBit 2.0. Come in molti altri casi che hanno colpito la sanità italiana, i dati trafugati sono estremamente delicati: il contenuto, poi diffuso sul dark web il 29 aprile, comprende circolari, documenti personali e dati sanitari dei pazienti di vari reparti dell’ospedale.
A rendere noto l’attacco è stata la stessa Asp di Messina con una nota stampa, in cui comunicava che il sistema informatico era stato compromesso, con possibili disagi ai servizi interni ed esterni. In questo articolo ricostruiamo l’attacco informatico ai danni dell’Asp di Messina, capendo come è avvenuto e cosa può insegnare a qualsiasi struttura sanitaria.
Ricostruzione dell’attacco e rivendicazione
Il 15 aprile il centro elaborazione dati dell’Asp di Messina segnala il malfunzionamento di alcuni server aziendali a seguito di un attacco informatico, con sottrazione di dati sensibili di medici e pazienti. Dalle verifiche dei tecnici emerge che i server erano stati compromessi da un ransomware: gli attaccanti avevano criptato i file rendendoli inutilizzabili, superando le misure di sicurezza presenti. L’attacco ha interessato numerosi computer dell’azienda socio-sanitaria, paralizzando l’accesso ai servizi.
Il cyber attack è stato rivendicato il 21 aprile dal gruppo LockBit 2.0, che sul proprio data leak site ha annunciato che il 29 aprile avrebbe diffuso i dati sottratti, salvo il pagamento di un riscatto di 560mila dollari in Bitcoin. Da verifiche successive si è appreso che l’attacco era riuscito a estrarre circa 27mila cartelle con dati personali di medici e informazioni sanitarie riservate sulle patologie dei pazienti — un colpo strategico, considerato un bacino di utenza di circa 645mila cittadini in 108 comuni della Sicilia.
L’Asp, in qualità di titolare del trattamento, ha notificato l’evento alla Polizia Postale e al Garante per la protezione dei dati il 20 aprile, ai sensi dell’art. 33 del GDPR, procedendo alla bonifica dei sistemi. Nonostante le procedure di risposta, i dati sono stati comunque pubblicati.
Come ha colpito il gruppo LockBit 2.0
Attacchi ransomware come questo spesso derivano da una scarsa manutenzione del sistema informatico, con grave rischio per l’intera infrastruttura. Nel caso specifico, esperti di cybersecurity hanno mostrato come il sito web dell’Asp, realizzato con il CMS WordPress, fosse vulnerabile ad attacchi come quello di LockBit.
Per scoprirlo è bastato un vulnerability assessment — condotto purtroppo solo dopo l’attacco — che ha evidenziato una versione del CMS ormai obsoleta, insieme a falle di sicurezza su alcuni plugin installati. CMS e plugin vulnerabili hanno agevolato la strada agli attaccanti, che hanno sfruttato queste debolezze per introdursi, copiare e criptare i dati sensibili poi diffusi dopo il mancato pagamento.
Come nel caso dell’Asp di Messina, spesso è una vulnerabilità nota e non corretta ad aprire la porta a un attacco. Il nostro Vulnerability Assessment, certificato ISO 27001, individua queste falle sui vostri sistemi e ve le restituisce in ordine di priorità, prima che le trovi un attaccante.
Le conseguenze dell’attacco
Spirata la deadline, LockBit ha pubblicato i dati sul proprio data leak site. La gravità della fuga di dati è emersa dalla natura del materiale diffuso: password in chiaro di caselle e-mail e la chiave di accesso all’area dedicata alle malattie rare, oltre a dati sanitari dei pazienti e dati personali come numeri di telefono, codici fiscali, indirizzi fisici ed e-mail di medici e personale.
Questo tipo di esposizione ha conseguenze che vanno ben oltre il singolo episodio: le credenziali diffuse alimentano il mercato del dark web e possono essere riutilizzate per attacchi successivi, mentre i dati sanitari, per loro natura non modificabili, restano un rischio permanente per le persone coinvolte.
Il settore sanitario nel mirino degli hacker
Ospedali, laboratori e centri medici sono sempre più spesso bersaglio dei gruppi ransomware, e il motivo è duplice: perdere l’accesso a cartelle cliniche e dati dei pazienti ha conseguenze devastanti sia per la salute sia per la protezione dei dati, e le strutture sanitarie non possono permettersi tempi di inattività. Gli attaccanti fanno leva proprio su questa combinazione — dati preziosissimi e impossibilità di fermarsi — per forzare il pagamento di riscatti elevati.
Il caso di Messina non è isolato: attacchi analoghi hanno colpito, tra gli altri, le ASL di Modena e l’azienda ospedaliera di Verona, a conferma che la sanità è ormai un obiettivo sistematico e non occasionale.
Come una struttura sanitaria può difendersi
La lezione di Messina è chiara: la difesa non nasce dopo l’attacco, ma prima. Il primo passo è ridurre al minimo le vulnerabilità dei sistemi con verifiche periodiche, invece di scoprirle — come qui — a danno avvenuto. Un vulnerability assessment regolare avrebbe rivelato il CMS obsoleto e i plugin vulnerabili molto prima che li sfruttasse LockBit.
Accanto alla verifica tecnica contano la formazione del personale — perché molti attacchi partono da un’e-mail di phishing aperta per errore — e un piano di backup e ripristino testato, che consenta di recuperare i dati senza cedere al ricatto. È esattamente l’approccio che proponiamo con la cybersecurity per il settore sanitario: un percorso di vulnerability assessment e penetration test dedicato a ospedali, cliniche e strutture sanitarie, per individuare le falle prima che lo faccia un attaccante.
Conclusioni
Le conseguenze di un attacco ransomware possono essere devastanti per un’azienda sanitaria come per qualsiasi ente pubblico o privato: il ripristino è lungo, costoso e richiede personale specializzato. Ma il caso di Messina insegna soprattutto una cosa — una singola vulnerabilità nota e trascurata è bastata ad aprire la porta. Adottare a monte misure preventive, e verificarle con regolarità, non è un costo ma l’unico modo per non trovarsi a gestire il danno quando è ormai troppo tardi.
In sanità la sicurezza passa anche dalle persone: un’e-mail di phishing aperta da un dipendente può aprire la strada a un ransomware. La nostra Academy forma il personale delle strutture sanitarie a riconoscere le minacce e a gestire i dati in sicurezza.
- Autore articolo
- Gli ultimi articoli
Sono CTO, socio della società Onorato Informatica e il Direttore del Security Operations Center.
Aiuto le imprese e i professionisti a progettare e implementare servizi di sicurezza informatica e a difendersi dagli attacchi informatici di hacker e virus.
Da oltre vent’anni mi occupo di linguaggi di programmazione: C, C++, C#, VB.NET, HTML, PHP e JAVA. Dirigo lo sviluppo e la gestione soluzioni di sicurezza informatica per aziende e enti tramite servizi di Web Security, Network Security, Anti-DDoS, Intrusion Prevention Systems, Perimeter Security, Network Segmentation, Security Information and Event Management, Threat and Vulnerability Management.
A differenza delle classiche soluzioni di sicurezza informatica, noi lavoriamo con servizi sviluppati internamente ad alte performance; utilizziamo solo tecnologie esclusive e certificate.
Inoltre, negli ultimi 10 anni ci siamo specializzati nella pianificazione, progettazione e implementazione dei servizi di Vulnerability Assessment e Penetration Test di sistemi e infrastrutture, comprese WebApp, Mobile e IoT.