Attacco informatico alle ASL di Modena: cosa è accaduto

Nella notte tra il 28 e il 29 novembre 2023 un attacco ransomware mette fuori uso i sistemi delle Asl modenesi. Ricostruiamo il caso, le conseguenze e cosa insegna.

Nella notte tra martedì 28 e mercoledì 29 novembre 2023, un attacco hacker ha messo fuori uso i sistemi informatici delle Asl modenesi. Sospensione di prelievi, prestazioni ambulatoriali non urgenti, mammografie e vaccinazioni; impossibilità di accedere alle cartelle cliniche digitali dei pazienti, rallentamenti nelle prenotazioni. Sono alcune delle conseguenze più pesanti per le strutture sanitarie e per gli utenti, costretti a tornare al cartaceo e a fare i conti con procedure inevitabilmente più lente.

1. Analisi dell’attacco ransomware alle Asl di Modena
2. Matrice ransomware e rivendicazioni
3. Le conseguenze per i pazienti
4. Cosa insegna il caso di Modena
5. Conclusioni

Analisi dell’attacco ransomware alle Asl di Modena

L’attacco che ha colpito la sanità modenese ha avuto un impatto trasversale su tutta la provincia, coinvolgendo l’AUSL, l’Azienda Ospedaliero-Universitaria di Modena e l’Ospedale di Sassuolo. La vicenda è riconducibile a un’infezione ransomware di tipo cryptolocker, software malevolo progettato per criptare i file e renderli inaccessibili. Lo schema d’attacco segue quanto già accaduto in altri distretti ospedalieri italiani, tra cui Verona e le ASL di Avezzano, Sulmona e L’Aquila.

Secondo le dichiarazioni del Direttore del Servizio Tecnologia dell’Informazione dell’AOU Modena, i primi campanelli d’allarme sono scattati intorno alle 23:00 del 28 novembre, quando il sistema informatico del reparto di radiologia è risultato improvvisamente inaccessibile. Le indagini, avviate in collaborazione con l’Agenzia per la Cybersicurezza Nazionale e la Polizia Postale, hanno confermato la presenza di un ransomware. In via precauzionale, i sistemi delle tre aziende sono stati temporaneamente sospesi, con tre obiettivi: impedire il propagarsi dell’infezione, accertare l’entità del danno e ripristinare gradualmente e in sicurezza le infrastrutture compromesse. Nella mattinata successiva è stato diramato un comunicato per invitare i cittadini ad astenersi dal prenotare visite non urgenti, dato che le prenotazioni dal fascicolo sanitario elettronico, integrate con il servizio CUP, non sarebbero comunque state finalizzate.

Matrice ransomware e rivendicazioni

Grazie alle indagini, a pochi giorni dall’accaduto è stato possibile risalire alla cybergang responsabile: il gruppo Hunter’s International, un marchio Ransomware-as-a-Service (RaaS) che opera con l’obiettivo di esfiltrare dati e ricattare le vittime con richieste di riscatto ingenti.

Stando a quanto notificato all’Autorità Garante per la protezione dei dati, non sono stati evidenziati casi di perdita o esfiltrazione indebita dei dati. Le aziende hanno rassicurato di aver intrapreso tutte le azioni legali necessarie a tutela delle strutture e dei pazienti, e che eventuali sottrazioni sarebbero state notificate immediatamente agli interessati. Un ruolo decisivo lo hanno giocato i sistemi di backup, che hanno agevolato il ripristino rendendo di fatto superflui i tentativi di ricatto.

Le conseguenze per i pazienti

Come sempre negli attacchi contro il settore sanitario, a farne le spese maggiori sono i pazienti. Insieme al personale medico, hanno dovuto adattarsi a un sistema basato sulla carta, con una gestione più lenta e macchinosa delle procedure: per accedere alle prestazioni è stato necessario fornire tessera sanitaria e referti cartacei, e i medici hanno potuto refertare solo in formato cartaceo.

Sul piano logistico si sono registrati la sospensione degli screening mammografici, dei punti prelievo e della specialistica ambulatoriale non programmata; il malfunzionamento dei call center per prenotazioni, informazioni e Urp; l’attivazione di un servizio alternativo per la Guardia Medica; e la sospensione del servizio di igiene pubblica. A tutto questo si è aggiunto il sovraffollamento delle strutture ospedaliere limitrofe, su cui è stata dirottata gran parte dell’utenza.

Cosa insegna il caso di Modena

Il caso modenese offre due lezioni preziose. La prima riguarda il valore del backup come strumento di resilienza: è stata proprio la presenza di copie di sicurezza affidabili a permettere il ripristino senza cedere al ricatto, trasformando un attacco potenzialmente devastante in un disservizio temporaneo. Un backup testato e isolato è ciò che distingue un’azienda che si rialza in giorni da una costretta a trattare con i criminali.

La seconda riguarda la prevenzione: la rapidità con cui radiologia e poi l’intera rete sono state compromesse dimostra quanto conti conoscere in anticipo i punti deboli dell’infrastruttura. Verifiche periodiche delle vulnerabilità, segmentazione della rete per impedire la propagazione, e formazione del personale sono le misure che riducono sia la probabilità sia l’impatto di un attacco. È l’approccio che proponiamo con la cybersecurity per il settore sanitario, un percorso di vulnerability assessment e penetration test dedicato a ospedali, cliniche e strutture sanitarie.

Conclusioni

Quanto avvenuto a Modena è l’ennesima dimostrazione della vulnerabilità delle strutture sanitarie agli attacchi informatici. La congiunzione tra preziosità del dato e carenza di adeguati strumenti di sicurezza rende il settore medico-sanitario uno dei bersagli prediletti: sul dark web un singolo fascicolo sanitario può arrivare a valere fino a 2.000 dollari. Il caso di Modena, però, insegna anche che la differenza si gioca sulla preparazione: chi ha investito in prevenzione e backup ha limitato il danno, chi non l’ha fatto ha pagato il prezzo più alto.