Sanità violata: perché i dati dei pazienti italiani sono finiti nel dark web. Rischi e conseguenze

Nell’ultimo periodo, la sicurezza dei dati sensibili detenuti dagli enti sanitari italiani è stata messa duramente alla prova da attacchi informatici di ampia portata. Se in passato le violazioni digitali riguardavano più frequentemente il mondo finanziario o quello industriale, oggi il contesto sanitario è diventato un obiettivo sempre più appetibile per i cybercriminali: i dati personali, le prescrizioni, gli esiti di indagini cliniche, rappresentano una risorsa dal valore elevato sia sul mercato nero che per fini di truffa. 

A rendere il quadro particolarmente complesso, intervengono diversi fattori: la digitalizzazione dei servizi sanitari, la gestione di numerosi archivi elettronici contenenti informazioni altamente sensibili e la presenza di piattaforme di interazione tra pazienti e operatori. 

Le recenti minacce hanno portato a una maggiore attenzione verso la protezione dei dati trattati dagli enti sanitari, ma gli episodi rilevati nel Nord Italia indicano come le misure di sicurezza adottate non sempre si rivelino all’altezza delle sfide poste dagli hacker. 

Il caso PazienteConsapevole e la compromissione dei dati: cosa è successo in Lombardia

Una delle vicende più discusse negli ultimi mesi riguarda il servizio digitale PazienteConsapevole, attivo dal 2009 e punto di riferimento per il dialogo tra cittadini e medici di medicina generale in Lombardia. L’episodio ha avuto inizio il 10 ottobre, quando la piattaforma è stata bloccata da un attacco hacker su larga scala, con la conseguente messa fuori servizio dei principali strumenti online offerti ai pazienti. In apparenza, nessun danno ai dati: questa è stata la versione ufficiale inizialmente comunicata dalle autorità regionali. 

Il quadro emerso successivamente ha però delineato una realtà differente. Società di cybersecurity come Cyberoo hanno individuato segnali non trascurabili di compromissione degli archivi digitali. In particolare, secondo un report diffuso il 25 novembre, risultavano in vendita sui circuiti clandestini numerosi dati riconducibili a cittadini del nord Italia: si parlava con insistenza di circa 350.000 schede personali, inclusivi di 90.000 pazienti identificati. Un segmento considerevole di tali dati comprendeva indirizzi email e numeri telefonici, elementi che amplificano il rischio di utilizzi fraudolenti. 

Ecco un riepilogo delle informazioni principali ricavate dal report Cyberoo:

L’episodio lombardo, che presenta analogie anche con recenti attacchi a servizi connessi al settore pubblico e scolastico (come Milano Ristorazione), ha sollevato paure concrete su possibili futuri utilizzi illeciti di questi dati da parte di criminali informatici. Secondo quanto emerso dalle indagini, i dati venivano proposti in vendita a tariffe diversificate, a seconda della completezza delle informazioni e della presenza di documentazione sanitaria: si andava dai 25 euro per una scheda contenente dati di prescrizione medica ai 35 euro per un profilo completo, fino ad arrivare a richieste di centinaia di migliaia di euro in criptovaluta per il pacchetto intero.

Dati sanitari nel dark web: analisi dell’impatto e dei rischi per i pazienti italiani

La diffusione dei database sanitari sottratti attraverso il dark web genera conseguenze complesse non solo per l’immagine degli enti pubblici coinvolti, ma soprattutto per la privacy degli utenti. L’accesso non autorizzato a cartelle cliniche, prescrizioni e dati identificativi può aprire la porta a molteplici scenari di rischio: dai furti di identità, alla creazione di ricatti personali, fino a intromissioni nella vita privata e tentativi di frode a danno delle vittime. 

Qui di seguito vengono evidenziati alcuni dei rischi e delle implicazioni più ricorrenti derivanti dalla circolazione dei dati sanitari sui forum clandestini:

• Minacce alla riservatezza: la pubblicazione di informazioni sensibili viola diritti sanciti dal Regolamento UE 2016/679 (GDPR).
• Perdita di fiducia verso le istituzioni: quando un’attività sanitaria subisce un attacco, la percezione della sicurezza dei sistemi pubblici e privati subisce un profondo indebolimento.
• Rischio di frodi e truffe: dati come email e numeri di telefono sono spesso utilizzati per inviare messaggi ingannevoli o per costruire frodi personalizzate.
• Gestione complessa degli incidenti: la notifica alle autorità competenti (Garante privacy) e agli stessi cittadini coinvolti richiede trasparenza e tempestività, come previsto dalla normativa europea.

I casi come quello lombardo sottolineano la necessità di un potenziamento costante delle misure di difesa digitale. La corretta formazione degli operatori, l’aggiornamento dei sistemi informatici e la collaborazione tra enti sanitari e aziende di sicurezza sono tasselli indispensabili per prevenire nuove compromissioni e ridurre l’esposizione degli utenti ai rischi.