Assedio informatico: il settore sanitario affronta un’ondata incessante di ransomware e violazioni dei dati nel 2025

La tempesta informatica che si abbatte sul settore sanitario mondiale si sta intensificando. Mentre le gang di ransomware e i ladri di dati affinano le proprie tattiche e ampliano i bersagli, ospedali e produttori di dispositivi medici si ritrovano in prima linea su un campo di battaglia digitale - dove la posta in gioco si misura in sicurezza dei pazienti, continuità operativa e milioni di riscatti estorti. Le recenti rilevazioni di Health-ISAC rivelano che il 2025 è stato l’anno più turbolento finora, e tutti i segnali indicano un 2026 ancora più pericoloso.

L’ultimo rapporto “Health Sector Heartbeat” di Health-ISAC dipinge un quadro netto: il volume e la sofisticazione degli attacchi informatici contro le organizzazioni sanitarie stanno accelerando a un ritmo che pochi avevano previsto. Sebbene il settore abbia registrato 585 incidenti nel 2025 - un aumento del 21% - questo numero nasconde la reale portata della crisi, mentre i gruppi criminali passano da violazioni opportunistiche a campagne ransomware mirate e ad alto impatto.

Il ransomware resta lo scenario da incubo del settore. Il gruppo Akira, noto per la sua adattabilità e spietatezza, ha intensificato gli attacchi contro ospedali e produttori di dispositivi medici, sfruttando varianti di malware sia in Rust sia in C++. Il loro copione di doppia estorsione - crittografare i sistemi critici e minacciare la pubblicazione dei dati - sfrutta le vulnerabilità uniche della sanità: infrastrutture obsolete, budget limitati per la cybersecurity e la necessità vitale di cure senza interruzioni.

Health-ISAC avverte che gli attaccanti non cercano solo denaro. Cartelle cliniche rubate e accessi di rete vengono apertamente messi all’asta nei forum underground, con gli attori della minaccia che ostentano il bottino per attirare acquirenti. In un caso recente, l’accesso alle reti di due aziende sanitarie - valutate rispettivamente 11 milioni e 25 milioni di dollari di fatturato annuo - è stato pubblicizzato in vendita, completo di credenziali amministrative ottenute tramite VPN Fortinet compromesse.

L’arsenale tecnico degli attaccanti si sta ampliando. Avvisi recenti evidenziano un aumento nello sfruttamento di strumenti di accesso remoto, database aperti e vulnerabilità critiche come quelle riscontrate in Ivanti Endpoint Manager e Windows Server Update Services. Gli attaccanti utilizzano strumenti amministrativi legittimi per muoversi furtivamente all’interno delle reti, eludendo il rilevamento e massimizzando i danni.

Con l’evoluzione del panorama delle minacce, Health-ISAC sta esortando le organizzazioni a raddoppiare l’attenzione sull’igiene informatica: patching, segmentazione di rete, sicurezza degli endpoint e formazione continua dei dipendenti. Fondamentale, il settore deve prepararsi alla prossima ondata - attacchi abilitati dall’IA ed exploit zero-day che potrebbero superare le difese odierne. I produttori di dispositivi medici affrontano l’onere aggiuntivo di mettere in sicurezza i dispositivi lungo i loro lunghi cicli di vita operativi, mentre gli ospedali devono fare i conti con il rischio di blocchi operativi e l’esposizione dei dati dei pazienti.

All’alba del 2026, i professionisti della sicurezza in ambito sanitario si trovano davanti a una realtà cupa: l’assedio digitale è tutt’altro che finito. Solo un fronte unito - che combini condivisione di intelligence, test rigorosi e miglioramento incessante - può sperare di mantenere al sicuro pazienti e sistemi in un mondo in cui ogni rete è un bersaglio e ogni vulnerabilità una potenziale catastrofe.

WIKICROOK

• Ransomware: Il ransomware è un software malevolo che crittografa o blocca i dati, chiedendo un pagamento alle vittime per ripristinare l’accesso ai propri file o sistemi.
• Double: La doppia estorsione è un attacco informatico in cui i criminali sia crittografano sia rubano i dati, minacciando di divulgarli a meno che la vittima non paghi un riscatto.
• Zero: Una vulnerabilità zero-day è una falla di sicurezza nascosta, sconosciuta al produttore del software, per la quale non esiste alcuna correzione disponibile, rendendola altamente preziosa e pericolosa per gli attaccanti.
• Endpoint Detection and Response (EDR): L’Endpoint Detection and Response (EDR) è un insieme di strumenti di sicurezza che monitora i computer alla ricerca di attività sospette, ma può non rilevare attacchi basati sul browser che non lasciano file.
• Network Segmentation: La segmentazione di rete divide una rete in sezioni più piccole per controllare gli accessi, migliorare la sicurezza e contenere le minacce in caso di violazione.