Quello della sanità è un comparto delicato per molti motivi, a cominciare dal suo potenziale intrinseco nel diffondere la cultura della privacy.
Chi condivide i propri dati sanitari con fiducia, è portato a condividere dati meno sensibili senza troppe remore e, allo stesso tempo, l’uso di dispositivi sanitari digitali contribuisce a diffondere la cultura digitale in ogni sua derivazione, aprendo spazio anche ad altre tecnologie quali, per esempio, la domotica, la guida assistita o la propensione ad accettare la gig economy nel suo insieme.
Tutti motivi che esigono maggiore concentrazione e sforzo da parte di chi si occupa di cyber security e che sono richiami forti per il cyber crimine per il quale si profila un ulteriore vantaggio perché, tenere sotto scacco ransomware un ospedale, può essere una facile fonte di guadagno.
Abbiamo ricostruito il panorama degli attacchi perpetrati alla sanità durante gli ultimi dieci anni per tracciare un quadro delle vulnerabilità e delle tecniche sfruttate. Ciò che ne risulta è l’evidenza con cui la cyber criminalità è rapida nel cogliere ogni opportunità e, sul fronte opposto, l’elevata latenza con cui la sicurezza reagisce.
Indice degli argomenti
Ransomware, la cyber security e la sanità
Con il termine sanità si intende, oltre alle strutture quali ospedali e cliniche, anche l’industria che vi ruota attorno tra farmacologia, biomedicina e dispositivi medicali.
Prima di entrare nel vivo di ciò che i dati suggeriscono, un’analisi di superficie permette di individuare con chiarezza che gli hacker prediligono:
- le realtà più piccole,
- la diffusione dei dispositivi medicali come via per perpetrare le offensive.
Vie di diffusione di codice malevole che sono evidenti e facilmente prevedibili, eppure tali non sono apparse a chi si occupa di cyber security. A questa conclusione giunge l’IBM Security X-Force Threat Intelligence 2022 report che, numeri alla mano, proietta il comparto sanitario tra le sei industrie più colpite dagli hacker durante il 2021 in America.
Va sottolineato che, al di là delle graduatorie, quello sanitario è tra i comparti più sensibili per la natura e il valore dei dati che tratta. Oltre ai danni finanziari inferti dagli hacker, gli attacchi possono mettere a rischio l’incolumità e la salute delle persone.
Gli attacchi ransomware
Nel corso del 2021 sono stati recensiti 190 attacchi ransomware andati a buon fine, ossia uno ogni due giorni e in crescita del 58,3% rispetto al 2020. Tasso di incremento dovuto alla relativa facilità con cui le offensive vanno in porto. Gli obiettivi primari del 2021 sono stati:
- ospedali,
- dispositivi medici,
- compagnie assicurative,
- industria biotecnologica,
- industria chimico-farmacologica,
- utenti finali.
Un elenco di obiettivi variegato che dimostra quanto sia ampio il raggio di azione degli hacker. Un dato che non fa statistica ma che va lasciato all’interpretazione del lettore: alla fine del 2022 il SickKids Hospital di Toronto è stato vittima di un attacco ransomware e gli hacker, compresi i rischi a cui hanno esposto i giovani pazienti dell’ospedale pediatrico, hanno offerto la chiave di decrittazione senza pretendere il pagamento del riscatto.
Nel corso del 2022, tuttavia, si è registrata una strategia più profilata. Gli hacker hanno spostato le proprie mire dalle strutture più grandi (e più redditizie) a quelle più piccole, perché più facili da violare proprio in virtù delle limitate risorse che destinano alla cyber security.
Parallelamente è aumentata la diffusione di dispositivi IoMT (Internet of Medical Things) quali braccialetti e sensori per il monitoraggio delle condizioni dei pazienti, pompe per l’insulina, ventilatori, pacemaker e apparecchiature mediche portatili.
Tutti dispositivi che devono essere periodicamente aggiornati e che lasciano aperti dei portoni che gli hacker imboccano per sferrare gli attacchi. La distribuzione di patch è problematica e, anche se i produttori si adoperano per mantenerli al sicuro, i fatti dimostrano che occorre una maggiore rapidità nella loro distribuzione.
Un problema affrontato anche dall’FBI a settembre del 2022, che ha emanato delle raccomandazioni per scongiurare il crescente fenomeno delle offensive hacker alla sanità.
La Cybersecurity and infrastructure Security agency (agenzia Usa per la sicurezza informatica e la sicurezza delle infrastrutture, Cisa) dirama ciclicamente dei bollettini che avvertono delle vulnerabilità dei dispositivi medici in uso, elencandone le lacune soltanto quando sono state risolte.
Nonostante l’impegno costante di diverse agenzie nazionali americane, gli hacker riescono a trovare modi sempre più creativi ed efficaci per perpetrare attacchi, segno questo degli squilibri in gioco, come peraltro dimostra l’infografica realizzata, in basso.
I cyber attacchi alla sanità
La sanità, al pari di altri comparti, è accerchiata. I cyber criminali possono sfruttare più vulnerabilità per raggiungere i propri obiettivi:
- l’aumento dell’uso di dispositivi medici connessi (e basati sul Cloud),
- verifiche insufficienti della sicurezza dei dispositivi medici connessi,
- uso di tecnologie obsolete,
- mancanza di preparazione e di cultura sulla cyber security sia tra il personale medico (che, peraltro, ha priorità professionali di altro tipo) sia tra gli utenti finali,
- i dati sanitari hanno un valore maggiore rispetto a qualsiasi altro tipo di informazione (soprattutto sul Dark web).
A fare da collante a tutto ciò c’è il fatto che gli operatori della sanità, per garantire la continuità di servizio, cedono e propendono per il pagamento dei riscatti chiesti dagli hacker.
Le offensive più diffuse
I ransomware sono tra le minacce più diffuse in ambito sanitario e, proprio in virtù del fatto che gli attori del comparto non possono rimanere fermi a lungo, gli attacchi DDos sono a loro volta ampiamente diffusi, anche questi tipicamente sferrati per chiedere un riscatto.
Secondo il report messo a disposizione da SOCRadar, dal primo aprile 2022 al 31 marzo 2023 sono state censite 464 risorse nel Dark web che vendono dati sanitari (il 35% in più rispetto all’anno precedente).
Gli attori delle minacce più attivi sono stati i gruppi Kelvinsecurity, LeakBase e Osiris e i mercati più disponibili all’acquisto dei dati sono, oltre a quello americano, quello della Federazione Russa e quello indonesiano.
Le leggerezze del passato
I ransomware e gli attacchi DDos sono solo due dei chiavistelli con cui vengono scardinate le porte d’accesso all’ecosistema della sanità.
I dati sottratti con diverse tecniche sono tanto completi da permettere il furto di identità – il numero di previdenza sociale sta agli Usa più o meno quanto il codice fiscale sta all’Italia – e consentono una profilazione di marketing farmacologico che ha un listino prezzi secondo il quale, per esempio, i dati di chi soffre di osteoporosi valgono poco più di 26 centesimi di dollaro e quelli di una donna incinta con problemi di depressione valgono fino a mezzo dollaro. C’è poi il Dark web, laddove i prezzi seguono logiche differenti e possono raggiungere alte vette.
Nel corso degli anni le aziende attive nella sanità hanno compiuto leggerezze di ogni tipo, persino lasciandosi sottrarre computer sui quali erano stati salvati documenti sensibili non criptati. Nel grafico sotto alcuni esempi di quelli che, negli Usa, sono gli attacchi subiti da aziende del comparto della sanità.
Fa riflettere anche l’attacco subito da Trinity Health (maggio 2020) perpetrato a danno del provider di servizi di backup e quello a Broward Health (gennaio 2022) che non si è presa cura delle API e degli accessi ai dati forniti a terzi. Shields Health (marzo 2022) non ha saputo rimediare in tempi rapidi a un alert scattato unici giorni dopo la violazione dei dati.
Il file rouge è sempre lo stesso: nessuna, o molto scarsa, predisposizione ai modelli di sicurezza preventiva, proattiva e, ancora prima, scarsa consapevolezza dei rischi e formazione deficitaria.
Questi sono gli scenari dai quali le imprese, non solo quelle della sanità, devono prendere spunto.
La situazione in Italia
Il rapporto 2023 curato dall’Associazione italiana per la sicurezza informatica (Clusit) emerge un quadro a tinte grigio-scure. È ancora fresco nella memoria l’attacco all’Asst Fatebenefratelli, l’azienda che raggruppa la gestione degli ospedali Fatebenefratelli, Luigi Sacco e Oftalmico, oltre al Macedonio Melloni e il Centro ospedaliero pediatrico Buzzi e decine di sedi sanitarie in tutta la Lombardia.
A questo attacco, occorso a maggio del 2022, se ne accostano altri quali l’attacco alla Asl di Torino del giugno dello stesso anno o quello alla Regione Lazio del 2021 che ha bloccato la somministrazione dei vaccini anti-Covid. E come non citare quello recentissimo contro Asl 1 Abruzzo.
Il rapporto è schietto: le strutture sanitarie italiane sono a rischio e tendono ad assumere atteggiamenti elefantiaci in materia di sicurezza. Come se le offensive in Italia e nel resto del mondo non facessero scuola, con beneficio quasi esclusivo del cyber crimine.
