Una donna entra in un ospedale a luglio 2019 per partorire, perde il bambino e ora denuncia: tutta colpa di un ransomware che ha colpito la struttura sanitaria.
È successo Springhill Medical Center dell’Alabama, Stati Uniti. E anche se il processo all’ospedale denunciato andrà per le lunghe – udienza prevista a novembre 2022 – l’episodio è emblematico dei tempi che stiamo vivendo.
Potrebbe essere il primo caso certificato – se l’ospedale sarà condannato – di ransomware che uccide causando un disservizio sanitario. Già questa ipotesi fa rabbrividire.
Indice degli argomenti
Il caso del ransomware che ha forse causato la morte di un bambino
La storia la riporta il Wall Street Journal qualche giorno fa. A causa del ransomware, per quasi otto giorni, i computer erano stati disattivati su ogni piano. Un tracker wireless in tempo reale che poteva localizzare il personale medico in tutto l’ospedale era fuori uso. Anni di cartelle cliniche dei pazienti erano inaccessibili. E al banco delle infermiere nell’unità di travaglio e parto, il personale medico era tagliato fuori dall’attrezzatura che controlla i battiti cardiaci fetali nelle 12 sale parto.
La figlia della signora Teiranni Kidd, protagonista della vicenda, è nata con il cordone ombelicale avvolto intorno al collo. Questa situazione fa scattare i segnali di alert sul monitor cardiaco quando il cordone compresso interrompe l’apporto di sangue e ossigeno al feto. Al bambino fu poi diagnosticato un grave danno cerebrale. Morì nove mesi dopo.
Un dato è certo. A causa dell’attacco, c’erano meno persone a controllare i monitor cardiaci – normalmente monitorati su un grande schermo alla postazione delle infermiere, oltre che all’interno della sala parto. L’ostetrica in carica Katelyn Parnell ha scritto al capo infermiera che avrebbe fatto nascere il bambino con un taglio cesareo se avesse visto la lettura del monitor.
All’inizio, il personale era in gran parte all’oscuro di ciò che stava accadendo, secondo tre ex lavoratori medici che erano lì durante l’attacco. I dipendenti sono arrivati e hanno trovato vaghe note attaccate ai loro computer che dicevano che il sistema di cartelle cliniche dell’ospedale, chiamato Sunrise, era giù fino a nuovo avviso, secondo un ex infermiere residente di Springhill.
La signora Kidd ha fatto causa a Springhill, sostenendo che le informazioni sulle condizioni del bambino non sono mai arrivate perché l’attacco ha impedito un completo monitoraggio.
L’ospedale nega qualsiasi atto illecito. In una dichiarazione inviata al Wall Street Journal, il CEO di Springhill Jeffrey St. Clair ha detto di aver gestito l’attacco in modo appropriato: “Siamo rimasti aperti e i nostri operatori sanitari dedicati hanno continuato a curare i nostri pazienti perché i pazienti avevano bisogno di noi e noi, insieme ai medici curanti indipendenti che hanno esercitato i loro privilegi in ospedale, abbiamo concluso che era sicuro farlo”.
Ospedali sempre più vittime di ransomware
Nel mondo gli ospedali sono sempre più sotto minaccia cyber. Sono 35 i casi di ospedali colpiti in Italia, dal 2019 a oggi.
Finora, nessun decesso è stato definitivamente collegato a un attacco ospedaliero. Tuttavia, un’analisi statistica della Cybersecurity and Infrastructure Security Agency ha trovato prove che il ransomware può portare a conseguenze disastrose per gli ospedali, ha detto Joshua Corman, un consulente senior per l’agenzia, che fa parte del Dipartimento della Sicurezza Nazionale.
Gli attacchi ransomware stanno aumentando di frequenza, le perdite delle vittime sono alle stelle, e i cyber criminali stanno spostando i loro obiettivi.
Gli ospedali sono le vittime perfette perché hanno interesse a pagare – dai sistemi informatici dipende dal vita delle persone – e perché sono poco attrezzati a proteggersi. Fino a poco tempo fa avevano pochi motivi per investire molto in cybersecurity, a differenza delle banche; il boom del ransomware ha cambiato lo scenario.
L’ospedale doveva avvisare tutti
“Nel caso di specie, se l’ospedale aveva già evidenze dell’attacco in corso – difficilmente poteva non averle – sicuramente avrebbe fatto bene a deviare il ricovero verso altri enti, ma probabilmente essendo la prima volta che subivano una minaccia di questo tipo pensavano di potercela fare a gestire i pazienti anche senza supporto dei sistemi informatici. Purtroppo, come è emerso dall’esperienza, anche attività semplici come visionare una radiografia o monitorare il battito cardiaco richiedono computer e i computer sono i primi a essere messi fuori uso dai ransomware”, spiega Paolo Dal Checco, noto consulente informatico forense.
“La problematica dei ransomware che colpiscono enti pubblici, ospedali, scuole, associazioni no profit è nota da tempo ed rilevante perché il danno subito può andare oltre a quello economico. Spesso per recuperare i dati non vi è purtroppo alternativa al pagare il riscatto e, chiaramente, gli enti pubblici non possono farlo. Un privato può decidere come meglio gestire la propria situazione e quindi cedere o meno all’estorsione, anche se di recente gli Stati Uniti hanno manifestato l’intenzione di sanzionare chiunque paghi i riscatti dei ransomware, con politiche simili a quelle usate con i rapimenti di persona”.
“Proprio per l’impossibilità o comunque difficoltà da parte della PA nel pagare i riscatti, alcune organizzazioni criminali hanno proibito ai propri affiliati di attaccare ospedali, ospizi, scuole, università, organizzazioni no-profit o governative. L’organizzazione DarkSide, ad esempio, inserisce nelle regole d’ingaggio proprio il divieto d’infettare con malware che blocchi realtà ospedaliere, crematori, organizzazioni funerarie o qualunque realtà attinente alla sanità e alla vita pubblica lasciando quindi come bersagli, in sostanza, le aziende”.
Evidentemente questo non è il caso di chi ha colpito gli ospedali di recente, incluso quello dove ha perso la vita il figlio della signora Kidd.
Non sembra comunque una buona strategia affidarsi al buon cuore dei criminali; gli ospedali dovrebbero avviare subito un percorso di potenziamento cyber, il che include investimenti e personale adatto (e formato). Tutti ambiti dove gli enti pubblici, in particolare gli ospedali, in Italia come negli Usa, sono sempre stati sia particolarmente deboli sia lenti a migliorare.
