La sanità italiana preda facile per gli hacker. Cartelle cliniche vendute a 1.000 euro sul dark web
- Pratiche di sicurezza inadeguate, password deboli o condivise e scarsa formazione sui temi di cyber security, espongono gli ospedali italiani al rischio di subire tecniche di hackeraggio. La ricerca di Swascan su 20 strutture sanitarie italiane ha trovato 9355 email compromesse, 239 Ip esposti su internet e 579 servizi aperti. La media di vulnerabilità è al 75%.
- Il problema è mondiale. Il ransomware resta la minaccia principale per le aziende. Questo tipo di attacco entro il 2031 supererà 265 miliardi di dollari a livello globale. Il 35% delle aziende che hanno pagato una richiesta di riscatto hanno corrisposto tra i 350.000 e 1,4 milioni di dollari,
Lo speciale contiene due articoli
A distanza di più di un mese dagli attacchi al sistema informatico della regione Lazio proseguono i disservizi nel settore sanitario nell'amministrazione di Nicola Zingaretti. In procura di Roma si cerca di trovare il filo per dipanare la matassa, ma al momento non ci sono indagati. Sarà difficile se non impossibile trovarli. C'è chi spera nell'aiuto del Cnaipic, il nuovo Centro nazionale anticrimine informatico per la Protezione delle infrastrutture critiche. La struttura sta cercando di scoprire in che modo gli hacker abbiano ottenuto le credenziali di un dipendente di Frosinone di LazioCrea, dal cui computer è stato lanciato l'attacco. In attesa di qualche novità c'è chi però ha iniziato ad analizzare le strutture sanitarie italiane, cercando di capire se il Lazio sia un caso isolato oppure possano crearsi situazioni di questo tipo anche in altre regioni italiane.
Non è solo l'attacco diretto alle strutture sanitarie l'obiettivo dei cosiddetti «criminal hacker». C'è infatti un'altra componente di grande valore per gli aggressori: i dati dei pazienti. Il valore di una cartella sanitaria sul mercato nero è ormai superiore a quello di una carta di credito. Secondo un rapporto della Cbs (emittente televisiva americana, le cartelle cliniche possono essere vendute fino a 1.000 dollari ciascuna sul dark web. Contengono importanti informazioni personali e altrettanti dati sensibili. Rubando e chiedendo riscatti per i dati dei pazienti, gli hacker possono ricevere milioni di euro dalle organizzazioni sanitarie, disposte a pagare il riscatto pur di evitare lunghe interruzioni delle cure mediche. In alternativa, i criminali possono rubare i dati delle cartelle cliniche dei pazienti per creare «kit di identità» che valgono fino a 2.000 dollari sul deep web, con gli acquirenti che utilizzano le informazioni per creare documenti fasulli, presentare false richieste di assicurazione o accumulare altri tipi di spese. I danni ai pazienti colpiti potrebbero non essere mai annullati. Lo dimostra il caso di un paziente americano la cui identità è stata rubata nel 2004, che ha trascorso un decennio cancellando accuse su falsi debiti. Con più di 31 milioni di cartelle cliniche esposte da incidenti di Data Breach nel 2020 (considerando solo quelli di cui siamo a conoscenza), questa storia potrebbe diventare fin troppo comune. Una preoccupazione non solo per i pazienti potenzialmente colpiti, ma anche per le organizzazioni sanitarie che contano sulla fiducia dei propri pazienti per garantirsi entrate critiche.
L'analisi sulla sanità italiana è stata effettuata da Swascan tramite il sevizio di cyber risk indicators che «determina e misura il potenziale rischio cyber del settore sanitario italiano». Lo studio è stato fatto nel mese di agosto e ha preso in considerazione 20 strutture sanitarie pubbliche e private tra le prime 100 in termini di dimensione, fatturato e reputazione. Per ogni azienda selezionata è stata effettuata una attività di «Domain Threat Intelligence (Dti) mediante la Cyber Security Platform» di Swascan. Le evidenze di criticità mostrano come le aziende sanitarie sono facile preda di attacchi ransomware. Si stima che entro la fine del 2021 si quintuplicheranno, secondo un rapporto di Cybersecurity Ventures. Più è debole il perimetro, maggiore sarà la probabilità che si verifichino minacce di questo tipo. Pratiche di sicurezza inadeguate, password deboli o condivise e scarsa formazione sui temi di cyber security, espongono gli ospedali al rischio di subire tecniche di hackeraggio alle cartelle cliniche dei pazienti.
La maggior parte delle tecniche vanno a colpire «il fattore umano sfruttando la disattenzione delle persone infatti è possibile invogliarle a cliccare su link malevoli e fornire informazioni personali senza volerlo. Ad esempio, una delle tecniche più note, il phishing, sfrutta le mail per indurre gli individui a divulgare informazioni sensibili o riservate. Questi messaggi non sono sempre facili da distinguere perché sono costruiti a "regola d'arte" per imitare mittenti legittimi e infliggere enormi danni alle organizzazioni. Nello specifico sono state individuate 293 coppie di mail aziendali con password disponibili pubblicamente nella nostra sanità. Parliamo di mail che i dipendenti della struttura hanno usato per registrarsi su siti o servizi terzi, i quali hanno subito un databreach. Di conseguenza le credenziali degli utenti sono diventate pubbliche.
Nonostante ciò, la probabilità che queste password possano essere usate per accedere ai sistemi della struttura è basso, in considerazione che tutte le aziende, anche quelle sanitarie, hanno sicuramente una policy che prevede il cambio password periodico. Il vero rischio è legato proprio alle attività di social engineering, principalmente phishing, per rubare le credenziali o per ingannare gli utenti a scaricare un malware spesso associato a Botnet.
Il gruppo di lavoro di Swascan ha rilevato un rischio concreto per le organizzazioni sanitarie di subire un cyber attack. Nello specifico, operando solo su informazioni pubbliche e semipubbliche - disponibili nel web, dark web e deep web – si è scoperto che le aziende del settore sanità del campione in esame presentano diversi rischi: 942 vulnerabilità in totale, 9355 e-mail compromesse, 239 Ip esposti su internet, 579 servizi aperti su Internet. Nello specifico la media è pari a: 75% vulnerabilità medie 14% vulnerabilità alte, 11% vulnerabilità alte, 468 e-mail compromesse in media per dominio
Va fatta però prima una premessa, perché nell'ultimo «decennio ha visto una drastica riduzione del personale sanitario in Italia dovuta al reiterarsi delle misure di spending review. In questo senso, tra il 2009 e il 2018, i dipendenti a tempo indeterminato sono diminuiti complessivamente del 6,5%, passando da 693.600 unità a fine 2009 a 648.507 a fine 2018. Ad oggi, secondo i dati Istat, in Italia operano: 241 945 medici, 367 684 infermieri, 51 954 odontoiatri, 7 253 ostetriche, 75 000 farmacisti
La crisi sanitaria provocata dalla pandemia da Covid-19 non ha fatto altro che esacerbare questo problema: l'Italia si è infatti trovata con una dotazione insufficiente di risorse umane necessarie per poter fronteggiare un'emergenza di tale portata. Allo stesso tempo, però, il Covid ha accelerato la transizione digitale, al punto che importanti aziende sanitarie hanno, in poco tempo, adottato dispositivi mobili e servizi cloud all'avanguardia. Queste nuove tecnologie oggi sono fondamentali poiché favoriscono una migliore analisi dei dati e un maggiore coordinamento dell'ecosistema, oltre ad avere il potenziale di monitorare la salute del paziente, fornire diagnosi a distanza e salvare vite umane. L'85% delle organizzazioni sanitarie hanno dichiarato che, entro cinque anni, il "mobile" sarà il principale mezzo per fruire dei servizi di assistenza sanitaria. Tuttavia, questa digitalizzazione ha comportato e comporterà dei rischi cyber; più dispositivi al di fuori del perimetro protetto significano una maggiore superficie di attacco che i criminali informatici possono prendere di mira. Se non protetti dalle minacce cyber, infatti, anche i migliori ospedali del mondo sono vulnerabili e rischiano un'interruzione delle proprie attività e delle procedure sanitarie quotidiane.
Pierguido Iezzi (Swascan): «Il Paese deve correre per colmare il ritardo tecnologico e culturale»
Un'ondata di cyber crime sta colpendo l'Italia e tutto l'Occidente. Certamente non è un fenomeno temporaneo. Nel periodo estivo, i cacciatori di vulnerabilità di Swascan (gruppo Tinexta) di Pierguido Iezzi, tramite il servizio di Malware Threat Intelligence, hanno rilevato in azione oltre 90mila tipologie di malware, 2.194 dei quali di nuova concezione o mai visti prima. Questo è un barometro piuttosto esemplificativo di come il cyber crime stia diventando una delle principali minacce quando si tratta di sicurezza digitale.
Il problema è mondiale. Il ransomware resta la minaccia principale per le aziende. Questo tipo di attacco – secondo le stime di Cybersecurity Ventures - entro il 2031 supererà 265 miliardi di dollari a livello globale. I danni arrivano su vari livelli. Innanzitutto, si verifica una perdita di entrate aziendali: il 66% delle organizzazioni ha riportato una significativa perdita di entrate a seguito di un attacco ransomware. Inoltre, le richieste di riscatto aumentano: il 35% delle aziende che hanno pagato una richiesta di riscatto hanno corrisposto tra i 350.000 e 1,4 milioni di dollari, mentre il 7% ha pagato riscatti superiori a 1,4 milioni di dollari.
Swascan ha prodotto diverse analisi e importanti report, ponendo l'attenzione sulle vulnerabilità sistemiche delle nostre aziende e le criticità delle imprese dei principali settori strategici dell'economia italiana, quali il metalmeccanico, il marittimo, energia e sostenibilità. L'azienda lombarda collabora con la cinese Lenovo e la statunitense Xerox, per la condivisione delle informazioni rispetto alle vulnerabilità e alle minacce. In questo caso, lo strumento di Domain Threat Intelligence permette di condividere la conoscenza e le informazioni acquisite nel tutelare le aziende loro clienti, formattandole per settori economici ed industriali.
L'analisi condotta sul colosso americano Xerox, ad esempio, ha dimostrato che quest'ultimo non è un universo protetto e che la supply chain digitale può presentare enormi insidie per la cyber security aziendale, e non solo: più grande è il perimetro, maggiori sono i rischi per l'ecosistema digitale delle organizzazioni. Il caso del gigante cinese Lenovo, con un fatturato di 50 miliardi di dollari annui, è un altro esempio di quanto oggi, più che mai, è fondamentale la collaborazione attiva tra aziende di cyber security e i fornitori di servizi, proprio come è avvenuto con Lenovo, dove sono state scoperte almeno tre vulnerabilità nei prodotti digitali della multinazionale. Un altro esempio significativo dell'attività di ricerca condotta su Entando, società di sistemi integrati open source, nata tra Sardegna e California e presto divenuta una multinazionale. Le analisi svolte hanno permesso di scoprire, durante un apposito "penetration test", una grave vulnerabilità che avrebbe consentito ad un aggressore di accedere, tramite il prodotto Entando, ai sistemi dei clienti.
Questa panoramica sugli incidenti più recenti pone l'accento non solo sui comportamenti individuali, prevalentemente dovuti al fattore umano, non necessariamente doloso, ma anche sui rischi per terze parti, e sull'estensione del perimetro digitale e della supply chain. L'utilizzo dei servizi di sicurezza digitale è diventato imprescindibile per governare la complessità digitale.
Il drammatico incidente che ha colpito la Regione Lazio, mandando in tilt l'intero sistema informatico e bloccando il programma di vaccinazioni, denuncia il ritardo del nostro Paese in investimenti, formazione e cultura della sicurezza digitale, così come la mancanza di risorse umane e tecnologie..
Qualcosa nell'ultimo mese si è mosso. Il perimetro di sicurezza nazionale, la nuova agenzia per la cyber sicurezza (Acn) e gli oltre 200 miliardi del Pnrr dedicati a favorire la digitalizzazione del Paese, sono strumenti che rappresentano un'opportunità da non perdere e una grande sfida per il rilancio dell'Italia, in un momento in cui non c'è alternativa se non la collaborazione reciproca.
C'è spazio per una collaborazione pubblico – privata: screening, analisi e reportistica, evidenziando Cyber Risk Indicators, si propongono di contribuire alle esigenze del momento in materia di cyber sicurezza nazionale, non solo condividendo informazioni e know how sulle minacce ma fornendo anche una metrica comune di confronto.
Grazie alle indagini svolte su settori strategici per l'Italia, ricercando informazioni relative alle potenziali vulnerabilità di domini, sottodomini ed e-mail compromesse, disponibili a livello di web e di deep web, e dunque accessibili facilmente, è stato possibile esaminare le potenziali vulnerabilità di 20 tra le prime 100 aziende italiane per fatturato. Il risultato finale? Emergono nuovi rischi potenziali, anche come conseguenza trasversale della digitalizzazione delle imprese. Il settore energetico, ad esempio, si è letto sul report Swascan, rivela alta vulnerabilità e la quota più bassa di aziende virtuose (20%); il settore metalmeccanico ha il 30% di aziende con zero vulnerabilità mentre il settore della blue economy si rivela il più virtuoso (40%). Gli attacchi cyber a settori, come questi, vitali per le attività economiche del nostro Paese, sono e saranno sempre più frequenti, le tecniche di attacco sempre più sofisticate e le richieste di riscatto sempre più alte. "In un particolare contesto come questo - dice Iezzi – bisogna investire sulla prevenzione che costa meno della gestione di un incidente e del suo ripristino, anche in termini reputazionali, come insegnano i casi recenti. Prevenire significa attuare misure di sicurezza predittiva e porre l'accento sul tema della Threat Intelligence, per conoscere la propria esposizione al rischio cyber, il danno potenziale e come allocare efficientemente le risorse. Il cyber crime – conclude– è una guerra che si vince con l'informazione e la conoscenza".
