Affondare una nave ospedale è considerato un crimine di guerra, ma i cybercriminali non si fanno scrupolo di attaccare e paralizzare le strutture sanitarie anche in tempi di emergenza Covid.
Negli ultimi mesi, si sono moltiplicati gli attacchi ransomware in danno di molti ospedali degli Stati Uniti, tanto da indurre l’Agenzia Federale per la Sicurezza (US Cybersecurity and Infrastructure Security Agency, CISA) a diramare un comunicato per richiamare l’attenzione degli addetti ai lavori sul fenomeno.
Intermezzo promozionale ... continua la lettura dopo il box:
Usufruisci di uno sconto per fare un CONTROLLO DELLA REPUTAZIONE PERSONALE o AZIENDALE [ click qui ]
CISA e FBI e dispongono infatti di informazioni credibili su una “minaccia crescente e imminente del crimine informatico per gli ospedali e gli operatori sanitari statunitensi” e invitano tutte le strutture sanitarie ad adottare preventive misure di sicurezza per proteggere i sistemi informatici da questi attacchi.
Il ransomware è un software dannoso che, una volta eseguito inconsapevolmente nei server attaccati, ne cripta il contenuto, rendendolo indisponibile. A questo punto, l’autore dell’attacco chiede un riscatto (ransom) per fornire un codice per la decrittazione dei server.
E’ evidente che, nel caso in cui i server vittima dovessero essere quelli di una struttura sanitaria o ospedaliera, il danno derivante dall’eventuale interruzione di servizi erogati sarebbe incalcolabile. Per questo motivo la CISA raccomanda agli amministratori, soprattutto in questo periodo di emergenza sanitaria mondiale, di tenere in considerazione la mitigazione del rischio nella determinazione del budget degli investimenti in sicurezza informatica.
E in Italia?
Negli ultimi tempi, anche in Italia si è assistito ad un aumento degli attacchi cyber in danno di ospedali e strutture sanitarie, e purtroppo, spesso le aziende decidono di pagare il riscatto (che può arrivare anche a milioni di euro) e riottenere la disponibilità dei propri dati, senza denunciare la violazione di dati personali.
Così facendo però la struttura, se da un lato può continuare ad erogare i servizi sanitari essenziali assicurandone la necessaria continuità, dall’altro non ha nessuna garanzia della non compromissione dei propri dati che potrebbero essere stati copiati e venduti nel periodo di indisponibilità.
Perché i dati sanitari sono così appetibili?
Le ragioni di questa impennata di attacchi in danno di aziende sanitarie sono diverse.
In primo luogo il valore dei dati sanitari, dato dall’insieme di dati anagrafici, nome cognome, codice fiscale, utilizzati per i furti di identità, uniti a quelli delle patologie, utilizzati per attività di marketing farmaceutico o per altre attività commerciali collegate.
Intermezzo promozionale ... continua la lettura dopo il box:
Il Financial Times ha addirittura elaborato un algoritmo in grado di calcolare il valore dei dati in quello che è un vero e proprio mercato.
Ad esempio i dati di una donna in attesa del primo figlio, “valgono” 0,102 dollari, quelli di un diabetico, 0,267, ed il valore cresce all’aumento delle patologie, al variare della professione, dell’età e dello stato civile.
Per questi motivi, secondo uno studio condotto dalla Kasperky, (società leader della sicurezza informatica che prevede anche un intensificarsi di attacchi contro strutture sanitarie nel 2021) è stato stimato che il valore di una singola cartella clinica, nel dark web – una sorta di web parallelo nel quale si commerciano beni e servizi illegali – possa arrivare fino a 25 euro.
All’alto valore dei dati sanitari si aggiunge una debole politica di sicurezza delle informazioni attuata dalle strutture sanitarie. Investire in sicurezza non genera infatti profitti immediati e diventa sempre più complesso individuare risorse economiche dedicate alla prevenzione dei crimini informatici.
In più, le infrastrutture degli ospedali sono molto estese e spesso prevedono l’esternalizzazione di alcuni servizi chiave (si pensi ad esempio alla digitalizzazione delle cartelle cliniche), senza effettuare quella necessaria e preventiva verifica della capacità dei fornitori di fornire “garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate” richiesta dall’Art. 28 del regolamento UE 2016/679.
Questa mancata verifica, fa si che molte volte siano proprio le società che forniscono servizi in outsourcing a costituire l’anello debole sotto il profilo della sicurezza, ed essere vittima di attacchi informatici finalizzati al furto dei dati sanitari affidati loro dalle strutture.
Se si sommano dunque il valore dei dati sanitari, la scarsa cultura della sicurezza, l’oggettiva difficoltà a reperire risorse economiche, ad una estesa superficie oggetto di attacchi, il quadro che ne viene fuori è preoccupante, e si comprende il motivo per il quale dal 2005 ad oggi sono state compromesse (furto o perdita di riservatezza) più di 300 milioni di cartelle cliniche (Rapporto Clusit 2020).
Quali sono i rimedi?
La situazione sembra dunque allarmante, tanto che nel 2020 si verificato il primo decesso “indiretto” conseguenza di un attacco hacker ad un ospedale tedesco, che non ha saputo gestire la temporanea indisponibilità dei propri server ed è stato costretto a non accettare il ricovero urgente di una donna. Anche se le indagini sono ancora in corso, sembra che il ritardo di un’ora nella prestazione delle cure, dovuto al trasferimento presso un altro ospedale, sia stato fatale per la paziente.
Dal momento che una altissima percentuale di attacchi è agevolata dal comportamento umano, ogni struttura dovrebbe predisporre ed attuare adeguati piani di formazione del personale, al quale impartire nozioni e regole di comportamento.
Potrebbe essere un buon punto di partenza illustrare ai dipendenti ed in generale a tutti gli autorizzati al trattamento, le raccomandazioni del Garante per la Protezione dei Dati Personali che proprio con riferimento agli attacchi ransomware ha fornito i seguenti suggerimenti:
- Evitare di aprire messaggi provenienti da soggetti sconosciuti o con i quali non si hanno rapporti e, in ogni caso, se si hanno dubbi, non si deve cliccare su link o banner sospetti e non si devono aprire allegati di cui si ognora il contenuto.
- Anche se i messaggi provengono da soggetti a noi noti, è comunque bene adottare alcune piccole accortezze. Ad esempio:
- non aprire mai allegati con estensioni “strane” (ad esempio, allegati con estensione “.exe” sono a rischio, perché potrebbero installare applicazioni di qualche tipo nel dispositivo);
- non scaricare software da siti sospetti (ad esempio, quelli che offrono gratuitamente prodotti che invece di solito sono a pagamento);
- scaricare preferibilmente app e programmi da market ufficiali, i cui gestori effettuano controlli sui prodotti e dove è eventualmente possibile leggere i commenti di altri utenti che contengono avvisi sui potenziali rischi;
- se si usa un pc, si può passare la freccia del mouse su eventuali link o banner pubblicitari ricevuti via e-mail o presenti su siti web senza aprirli (così, in basso nella finestra del browser, si può vedere l’anteprima del link da aprire e verificare se corrisponde al link che si vede scritto nel messaggio: in caso non corrispondano, c’è ovviamente un rischio
Va da sé che le raccomandazioni del Garante prendono in considerazione quelle che, analizzando gli attacchi ransomware, si sono rivelate le cause più frequenti di infezione dei server aziendali.
L’articolo continua su https://www.agi.it/blog-italia/digitale/post/2020-12-31/hacker-prendono-di-mira-ospedali-ransomware-10870594/
