Undici mesi nell’ombra: la violazione silenziosa di Cognizant scatena una tempesta legale

Quando gli hacker hanno infiltrato TriZetto Provider Solutions, una sussidiaria di Cognizant, alla fine del 2024, non si sono semplicemente intrufolati - si sono insediati. Per quasi undici mesi, i cybercriminali hanno agito indisturbati, raccogliendo dati sanitari sensibili mentre l’azienda restava ignara. Ora che la violazione è finalmente venuta alla luce, Cognizant si trova ad affrontare non solo una crisi di fiducia, ma anche una resa dei conti legale che potrebbe ridefinire gli standard di sicurezza dei dati nell’intero settore sanitario.

Come è potuto accadere?

La tempistica della violazione è allarmante quanto la sua portata. Secondo i documenti del tribunale, gli attori malevoli hanno avuto accesso ai sistemi TriZetto già a novembre 2024. Eppure la violazione è passata inosservata fino al 2 ottobre 2025 - un intervallo impressionante di 11 mesi durante i quali informazioni sensibili sono rimaste esposte. I dati compromessi includerebbero non solo nomi e indirizzi, ma anche numeri di previdenza sociale e dettagli di conti finanziari, offrendo un vero tesoro ai ladri d’identità.

Questa prolungata esposizione è diventata il fulcro delle cause legali ora in corso in diversi tribunali federali. I querelanti provenienti da Arizona, California e altri stati sostengono che Cognizant e la sua sussidiaria non abbiano rispettato le misure di sicurezza standard del settore e abbiano trascurato la responsabilità di informare tempestivamente le vittime. Quel ritardo, affermano, è costato alle persone tempo prezioso per proteggersi da frodi e furti d’identità.

Questioni legali ed etiche in abbondanza

Le denunce legali vanno oltre, criticando Cognizant e TriZetto per aver rilasciato dichiarazioni pubbliche scarne che hanno fatto poca luce su come sia avvenuta la violazione o su quali misure siano state adottate per evitarne una futura. Con le cause in corso, le aziende hanno rifiutato ulteriori commenti, citando i procedimenti in atto. Tuttavia, TriZetto sostiene che la protezione dei dati rimane una “priorità fondamentale”.

Questo caso mette in luce una realtà inquietante: i fornitori IT del settore sanitario, a cui sono affidati vasti archivi di dati di pazienti e assicurazioni, sono bersagli sempre più appetibili per i cybercriminali. Eppure, come dimostra questo episodio, anche i giganti del settore possono fallire nel rilevare e rispondere tempestivamente alle minacce.

Un precedente per la cybersecurity sanitaria

Man mano che le cause avanzano, i tribunali esamineranno se le azioni - o le omissioni - di Cognizant abbiano rispettato gli standard legali ed etici richiesti ai custodi dei dati sanitari. L’esito potrebbe stabilire precedenti fondamentali su quanto rapidamente le aziende debbano rilevare, segnalare e porre rimedio alle violazioni dei dati in un settore in cui la posta in gioco è nientemeno che l’identità e la sicurezza finanziaria delle persone.

La violazione presso TriZetto è un monito severo: nell’era digitale, un anno nell’ombra può gettare una lunga ombra su fiducia, reputazione e responsabilità.

WIKICROOK

• Class action: Una class action consente a un gruppo con reclami legali simili di citare in giudizio un’organizzazione insieme, semplificando il processo e condividendo le risorse.
• Violazione dei dati: Una violazione dei dati si verifica quando soggetti non autorizzati accedono o rubano dati privati da un’organizzazione, spesso portando all’esposizione di informazioni sensibili o riservate.
• Risposta agli incidenti: La risposta agli incidenti è il processo strutturato che le organizzazioni utilizzano per rilevare, contenere e recuperare da attacchi informatici o violazioni di sicurezza, minimizzando danni e tempi di inattività.
• Settore: In ambito cybersecurity, ‘settore’ identifica un comparto con rischi e regolamentazioni specifiche, che richiede misure di sicurezza su misura per proteggere i dati sensibili e garantire la conformità.
• Notifica di violazione: La notifica di violazione è l’obbligo legale di informare persone e autorità dopo aver scoperto una violazione dei dati che coinvolge informazioni personali o sensibili.