L’attacco ransomware all’AOUI di Verona del 23 ottobre 2023 ha paralizzato una delle principali strutture sanitarie del Veneto. Ricostruiamo l’incidente, il gruppo Rhysida e cosa insegna.
L’attacco informatico all’Azienda Ospedaliera Universitaria Integrata (AOUI) di Verona ha messo in luce le sfide che il settore sanitario italiano sta affrontando sul fronte della cybersecurity. In questo articolo esploriamo le dinamiche dell’attacco, la risposta delle autorità e le implicazioni per la sicurezza dei dati dei pazienti.
I primi dettagli dell’attacco
Il 23 ottobre 2023, in tarda mattinata, l’ospedale di Verona viene colpito da un attacco ransomware mirato ai sistemi informatici dell’azienda sanitaria veneta. L’attacco si dimostra da subito complesso da arginare anche per gli informatici che gestiscono i sistemi dell’ospedale, e mostra rapidamente i suoi effetti: sospensione dei servizi online di prenotazione e ritiro referti, blocco dei PC, rete dati inaccessibile, alcune linee telefoniche interne fuori uso e casse automatiche inutilizzabili.
In breve, l’intero ecosistema informatico resta paralizzato per molte ore. La situazione è così grave che la popolazione viene invitata a presentarsi ai centri prelievo e al pronto soccorso solo in caso di reale emergenza. Le autorità rilasciano dichiarazioni su tre punti: nessun dato risulta violato o trafugato, lo staff IT sta lavorando al ripristino, e le tecnologie di backup si sono rivelate fondamentali per recuperare il patrimonio informativo della struttura.
Attacchi agli ospedali: un problema di risorse
Va detto come premessa: l’Italia è tra i Paesi più colpiti al mondo per attacchi informatici a strutture sanitarie. La mancanza di risorse e tecnologie di sicurezza adeguate è una delle sfide più grandi che gli ospedali italiani affrontano, e la tipologia d’attacco più frequente e dannosa resta il ransomware, che cifra i dati rendendoli inaccessibili fino al pagamento di un riscatto in criptovalute.
Mentre l’Italia progredisce nell’ammodernamento delle strutture, resta urgente affrontare le vulnerabilità informatiche presenti in dispositivi e reti ospedaliere: computer obsoleti con software arcaici, budget ridotti per la sicurezza, personale non sufficientemente formato, scarsa comunicazione tra reparti. A complicare il quadro ci sono le tecnologie IoT medicali, innovative ma spesso mal integrate e quindi vulnerabili: il controllo remoto di apparecchiature mediche, se non protetto correttamente, diventa un punto d’ingresso strategico per i cybercriminali.
Dispositivi IoT medicali e sistemi non aggiornati sono tra i punti d’ingresso più sfruttati negli attacchi agli ospedali. Il nostro Vulnerability Assessment, certificato ISO 27001, individua queste debolezze sui vostri sistemi e ve le restituisce in ordine di priorità, prima che un attaccante le trovi.
Perché gli ospedali attirano i cybercriminali
Gli ospedali sono tra gli obiettivi principali per una combinazione di fattori. Primo, detengono una vasta quantità di dati sensibili dei pazienti che, se compromessi, possono essere venduti o usati per frodi: secondo le stime, una cartella sanitaria può valere fino a 2.000 dollari sul dark web. Secondo, la necessità di mantenere l’operatività 24 ore su 24 rende le strutture più propense a pagare il riscatto pur di ripristinare i servizi. Terzo, la percezione di una sicurezza inadeguata convince gli attaccanti di poter colpire con successo. In sintesi, gli attacchi agli ospedali sono visti come operazioni ad alto rendimento e rischio relativamente basso.
L’aggiornamento: la richiesta di riscatto
A meno di un mese dall’attacco del 23 ottobre, la vicenda si aggrava. L’attacco viene attribuito al gruppo Rhysida, che avanza una richiesta di riscatto di 10 Bitcoin — all’epoca oltre 300.000 euro. A differenza delle prime dichiarazioni rassicuranti, emerge che gli attaccanti avrebbero esfiltrato una quantità significativa di dati.
In caso di mancato pagamento, la gang minaccia di divulgare il materiale sottratto, e a riprova pubblica alcuni documenti: referti di laboratorio, esiti di esami e diagnosi, file su carta intestata della Regione Veneto. Un episodio che conferma l’evoluzione del ransomware verso la doppia estorsione: non solo cifratura dei dati, ma minaccia di pubblicarli.
Chi è il gruppo ransomware Rhysida
Il gruppo Rhysida è stato identificato per la prima volta a maggio 2023 e da allora collegato a diversi attacchi mirati di rilievo, incluso un attacco all’Esercito cileno e a Prospect Medical Holdings negli Stati Uniti, con un impatto su 17 ospedali e 166 cliniche. Dopo quell’attacco, il Dipartimento della Salute statunitense ha definito Rhysida una minaccia significativa per il settore sanitario. Sono state osservate somiglianze tecniche con un altro gruppo, Vice Society, particolarmente attivo dal 2021 contro i settori dell’istruzione e della sanità.
Dal punto di vista difensivo, è utile sapere che le tattiche di gruppi come Rhysida si basano tipicamente su movimento laterale nella rete, furto di credenziali e tecniche per eludere i sistemi di difesa, come la cancellazione dei log per nascondere le tracce. Conoscere questi schemi è il primo passo per progettare le contromisure: segmentazione della rete, monitoraggio degli accessi anomali e protezione delle credenziali privilegiate sono le difese che spezzano la catena d’attacco prima che raggiunga i dati.
Cosa insegna il caso di Verona
Il caso di Verona lascia due insegnamenti. Il primo è che il backup resta l’ultima linea di difesa che funziona: è stato proprio il ripristino da copie di sicurezza a permettere all’ospedale di recuperare l’operatività. Il secondo è che la prevenzione deve precedere l’incidente — computer obsoleti, IoT non protetti e personale non formato sono debolezze note, individuabili in anticipo.
Non è un caso isolato: attacchi analoghi hanno colpito la sanità modenese e l’Asp di Messina, a conferma che la sanità è un bersaglio sistematico. È l’approccio che proponiamo con la cybersecurity per il settore sanitario: un percorso di vulnerability assessment e penetration test dedicato a ospedali e strutture sanitarie, per individuare le falle — inclusi i dispositivi medici connessi — prima che lo faccia un attaccante.
Molti attacchi agli ospedali partono da un’e-mail di phishing o da una credenziale debole. La nostra Academy forma il personale sanitario a riconoscere le minacce e a proteggere gli accessi, chiudendo il vettore da cui la maggior parte degli attacchi ha inizio.
- Autore articolo
- Gli ultimi articoli
Sono CTO, socio della società Onorato Informatica e il Direttore del Security Operations Center.
Aiuto le imprese e i professionisti a progettare e implementare servizi di sicurezza informatica e a difendersi dagli attacchi informatici di hacker e virus.
Da oltre vent’anni mi occupo di linguaggi di programmazione: C, C++, C#, VB.NET, HTML, PHP e JAVA. Dirigo lo sviluppo e la gestione soluzioni di sicurezza informatica per aziende e enti tramite servizi di Web Security, Network Security, Anti-DDoS, Intrusion Prevention Systems, Perimeter Security, Network Segmentation, Security Information and Event Management, Threat and Vulnerability Management.
A differenza delle classiche soluzioni di sicurezza informatica, noi lavoriamo con servizi sviluppati internamente ad alte performance; utilizziamo solo tecnologie esclusive e certificate.
Inoltre, negli ultimi 10 anni ci siamo specializzati nella pianificazione, progettazione e implementazione dei servizi di Vulnerability Assessment e Penetration Test di sistemi e infrastrutture, comprese WebApp, Mobile e IoT.