Perché la sanità è un bersaglio privilegiato
Il settore sanitario italiano presenta una combinazione di fattori che lo rendono particolarmente vulnerabile agli attacchi informatici. Secondo il Rapporto Clusit 2025, la sanità è il terzo settore più colpito in Italia con il 12% degli attacchi gravi, in crescita del 28% rispetto al 2024.
Le ragioni strutturali di questa vulnerabilità:
- Alto valore dei dati — un record sanitario completo vale nel dark web tra 50 e 1.000 €, contro i 10-30 € di un numero di carta di credito. Cartelle cliniche, diagnosi, referti genetici e dati GDPR di categoria speciale sono altamente monetizzabili
- Sistemi legacy non aggiornabili — molti ospedali usano software medici certificati che non possono essere aggiornati senza ricertificazione; alcuni girano ancora su Windows 7 o Windows Server 2008
- Pressione operativa 24/7 — un ospedale non può permettersi downtime: questa pressione porta spesso al pagamento del riscatto per tornare operativi in poche ore
- Budget IT insufficienti — la spesa IT media delle ASL italiane è l'1,2% del budget totale, contro il 4-5% delle organizzazioni sanitarie europee più avanzate
- Interconnessione con fornitori — laboratori di analisi, poliambulatori privati, fornitori di apparecchiature: ogni terza parte è un potenziale vettore di attacco supply chain
Il downtime medio di un ospedale italiano dopo un attacco ransomware è di 18 giorni (fonte: Politecnico di Milano 2025). In quel periodo vengono rinviate migliaia di visite, ritardati interventi chirurgici non urgenti e i pazienti critici vengono trasferiti ad altre strutture con costi umani e finanziari enormi.
Gli attacchi più significativi al SSN 2025-2026
Negli ultimi diciotto mesi, diverse strutture del Servizio Sanitario Nazionale italiano hanno subito attacchi di rilievo:
Pattern comuni negli attacchi al SSN
Analizzando i casi documentati dall'ACN nel 2025-2026, emergono pattern ricorrenti:
- Vettore iniziale VPN/RDP senza MFA — oltre il 60% degli attacchi analizzati ha sfruttato accessi remoti non protetti da autenticazione multi-fattore, usati da medici e tecnici per accedere ai sistemi dall'esterno
- Sfruttamento di orari notturni e weekend — gli attaccanti attivano il payload ransomware nelle ore di minor presidio IT, massimizzando il danno prima del rilevamento
- Colpiti i backup in rete — i backup montati come share di rete sono stati cifrati insieme ai dati primari, rendendo impossibile il ripristino rapido
- Lateral movement verso sistemi PACS — i Picture Archiving and Communication System per le immagini diagnostiche (TAC, RMN, radiografie) sono stati bersagli prioritari per il loro valore e la loro difficoltà di ripristino
Le tecniche usate dagli attaccanti nel settore sanitario
Initial access: phishing mirato al personale sanitario
Le campagne di phishing verso il personale sanitario sono sempre più sofisticate e contestualizzate. Email che simulano comunicazioni del Ministero della Salute, aggiornamenti su normative sanitarie, o notifiche di sistemi interni (cartella clinica elettronica, software di refertazione) hanno tassi di click significativamente più alti delle campagne generiche.
Sfruttamento di dispositivi medici connessi
I dispositivi medici IoT (monitor di parametri vitali, pompe per infusione, apparecchiature diagnostiche connesse in rete) spesso usano firmware non aggiornabile con vulnerabilità note. Alcuni attaccanti usano questi dispositivi come punto di pivot per muoversi lateralmente nella rete ospedaliera verso i sistemi più critici.
Accesso tramite fornitori terzi
Come descritto nella guida agli attacchi supply chain contro le PMI, le strutture sanitarie sono esposte agli stessi rischi: fornitori di manutenzione apparecchiature, laboratori esterni, software house di gestionali sanitari — ognuno è un potenziale vettore di accesso non autorizzato.
Impatto su pazienti, GDPR e obblighi NIS2
Il data breach sanitario e il GDPR
Un attacco ransomware a una struttura sanitaria è automaticamente un data breach GDPR. I dati sanitari sono "dati particolari" ai sensi dell'art. 9 del GDPR e la loro violazione richiede:
- Notifica al Garante per la Privacy entro 72 ore dalla scoperta
- Comunicazione diretta agli interessati (pazienti) se il rischio per i loro diritti è elevato
- Documentazione dell'incidente nel registro del titolare
Le sanzioni per gestione inadeguata di dati sanitari violati possono arrivare a 20 milioni di euro o il 4% del fatturato globale. Il Garante ha già sanzionato strutture sanitarie italiane negli anni recenti per violazioni GDPR legate a incidenti informatici.
NIS2 per il settore sanitario
Il D.Lgs. 138/2024 (NIS2) include espressamente il settore sanitario tra i soggetti essenziali. Gli ospedali pubblici, le ASL e le strutture private convenzionate con il SSN con fatturato superiore ai 10 milioni di euro sono obbligati a:
- Implementare misure di sicurezza proporzionate al rischio (art. 21)
- Notificare gli incidenti significativi all'ACN entro 24 ore (pre-notifica) e 72 ore (notifica completa)
- Designare un referente per la cybersicurezza con responsabilità personale
- Effettuare valutazioni del rischio periodiche e test di sicurezza regolari
La mancata conformità espone a sanzioni fino a 10 milioni di euro per i soggetti essenziali, con responsabilità personale degli organi direttivi.
Molte strutture sanitarie private (cliniche, poliambulatori, centri diagnostici) non sanno di ricadere nella NIS2. Se la tua struttura è convenzionata con il SSN o supera i 10 milioni di fatturato, verifica immediatamente il tuo status sul portale ACN e avvia il percorso di adeguamento.
Come le strutture sanitarie si proteggono
Le strutture sanitarie che hanno resistito meglio agli attacchi del 2025-2026 condividono alcune caratteristiche comuni:
- Segmentazione della rete clinica — rete clinica (dispositivi medici, PACS, cartella clinica) separata fisicamente o logicamente dalla rete amministrativa e da Internet
- MFA su tutti gli accessi remoti — nessun accesso VPN o RDP senza autenticazione multi-fattore, incluso il personale medico che accede da casa
- Backup offline immutabile — copia dei dati critici su supporto air-gapped o in cloud con immutabilità attivata, non accessibile dalla rete interna
- SOC 24/7 dedicato o in outsourcing — il SIEM con log management centralizzato consente di rilevare comportamenti anomali (traffico insolito, accessi fuori orario, escalation di privilegi) prima della cifratura
- Piani di continuità operativa testati — procedure documentate per operare in modalità cartacea durante un'interruzione, con personale formato e kit di emergenza predisposti
- Formazione periodica del personale — il phishing rimane il vettore principale: simulazioni di phishing trimestrali e training su come riconoscere email sospette riducono drasticamente il rischio di compromissione iniziale
Per una struttura sanitaria che parte da zero, il piano di cybersecurity in 3 livelli di maturità è un riferimento pratico per stabilire le priorità senza disperdere risorse.
Domande frequenti
Perché la sanità è così spesso bersaglio di attacchi ransomware?
Perché combina dati ad altissimo valore (record sanitari), sistemi legacy difficili da aggiornare, operatività 24/7 che impedisce downtime e budget IT storicamente insufficienti. Questa combinazione rende le strutture sanitarie bersagli preferenziali con alta probabilità di pagamento del riscatto.
Un attacco ransomware a un ospedale rientra nei casi NIS2?
Sì. Il D.Lgs. 138/2024 include la sanità tra i soggetti essenziali. Gli ospedali e le ASL devono notificare gli incidenti all'ACN entro 24 ore, implementare misure di sicurezza proporzionate e designare un referente responsabile per la cybersicurezza.
Cosa succede ai dati dei pazienti rubati durante un attacco?
Vengono venduti nel dark web, usati per truffe assicurative o ricatti ai pazienti. La notifica al Garante per la Privacy è obbligatoria entro 72 ore. Le sanzioni per gestione inadeguata possono arrivare a 20 milioni di euro o il 4% del fatturato globale.