Sono 393 mila i dispositivi e le piattaforme sanitarie a rischio cyber

Quanto è facile entrare in possesso di dati sanitari privati? Pochi giorni fa la BBC ha rivelato che l’Nhs – il servizio sanitario nazionale britannico – ha subito un data breach: l’emittente ha rivelato che alcuni ospedali continuano a usare i “teledrin” (detti anche “cicalini” in ambito ospedaliero italiano) per le comunicazioni interne. Si tratta dei vecchi cerca persone, molto popolari durante gli anni Ottanta ma ormai obsoleti, e che, secondo direttive governative britanniche, avrebbero dovuto essere abbandonati nei nosocomi del Paese entro il 2021 perché non pensati per proteggere la riservatezza dei dati.

Così non sarebbe stato, ha rivelato l’inchiesta: il risultato è che i dati su trapianti, organi richiesti e ricevuti, compatibilità di donatori e riceventi sarebbero stati violati.

Il cerca persone rimane in uso nonostante i limiti intrinseci della tecnologia, hanno spiegato i medici alla BBC, perché gli ospedali sono edifici che, per esigenze costruttive di vario genere (come la protezione dai raggi X) sono dotati di pareti spesse, dove cellulari e wifi funzionano male. Al contrario, il teledrin dispone di proprie frequenze e in generale risulterebbe penetrare meglio i muri.

La vicenda mostra bene alcuni aspetti. Il primo è che non sempre la tecnologia più recente sostituisce in tutti gli aspetti significativi i dispositivi del passato: la pratica vince sempre sulla teoria. Il secondo è che, in un’epoca in cui l’attività diagnostica, clinica, di cura e finanche operatoria che si conduce nei nosocomi è basata sul digitale e sullo scambio di dati, la cultura della cybersicurezza non ha ancora attecchito tra i camici bianchi.

Conflitti moderni

Modat, un’azienda di cyber security con sede a L’Aja (Paesi Bassi) stima che fossero 393mila i dispositivi e piattaforme sanitarie a livello globale esposti ad attacchi nel mese di luglio 2026: dai macchinari per le risonanze magnetiche a quelli per le radiografie, oltre naturalmente alle piattaforme gestionali di ospedali, regioni e Stati. I dati sono stati estratti su richiesta di The Outlook. La ricerca è stata condotta nell’arco di un mese e su scala globale.

Un anno fa, la stessa ricognizione (ma condotta nell’arco di sei mesi) mostrava come fossero 1,2 milioni i dispositivi coinvolti. Come interpretare i numeri? La decrescita potrebbe essere solo apparente. La differenza, spiega il fondatore e amministratore delegato Soufian El Yadmani, è dovuta “in primo luogo al periodo di raccolta dei dati”, più breve.

Quello che è certo è che le informazioni conservate negli schedari elettronici dei nosocomi non si limitano allo stato di salute, ma spesso includono anche dettagli sulle abitudini personali e gli stili di vita dei pazienti, che potrebbero subire conseguenze personali gravi in caso di fuga di dati.

A mero titolo di esempio, in certi paesi l’omosessualità costituisce un reato, e una breccia nel sistema informatico di un nosocomio estero potrebbe avere conseguenze gravi per gli interessati, esponendoli a ricatti che, proprio per la natura intima della questione, rendono difficile rivolgersi alla polizia.

“I conflitti moderni si estendono oltre il campo di battaglia fisico”, sintetizza Vasileios Mingos, a capo delle operazioni in Europa di Health-Isac, una rete di organizzazioni nata negli Stati Uniti e specializzata nel ramo della sicurezza informatica sanitaria. “L’attività informatica ormai è normalmente usata per daneggiare servizi critici, testare la resilienza nazionale e plasmare la percezione pubblica”, prosegue l’esperto. “Ma”, aggiunge, “mentre settori come energia e telecomunicazioni sono stati a lungo riconosciuti come bersagli strategici, oggi anche la sanità fa ormai parte del medesimo scenario”.

Secondo Modat i primi quindici paesi più esposti a livello globale sarebbero – in ordine – Stati Uniti, Sudafrica, Irlanda, Italia, India, Giappone, Kuwait, Svizzera, Canada, Australia, Lituania, Francia, Taiwan, Corea del Sud, Hong Kong. Conta il grado di digitalizzazione della sanità, oltre alle dimensioni. Il quarto posto dell’Italia è interessante: “C’è un uso massicio di risonanze magnetiche e applicazioni di trasferimento dati con vulnerabilità”, dice El Yadmani.

Immagini confidenziali finite in rete

Proviamo a scendere nello specifico. Un paziente si è appena sottoposto a una risonanza magnetica: l’utente si aspetta che il proprio referto e le immagini correlate rimangano strettamente confidenziali, e di solito ne è così certo da non porsi neanche il problema che possa accadere diversamente. Che effetto farebbe a questa persona sapere che, invece, non è così? Magari a causa di una vulnerabilità nel sistema di gestione della documentazione clinica che lascia tutti i file in rete, identità compresa. È più o meno, spiega Modat, quello che accade in molti ospedali.

Le falle, secondo l’azienda mitteleuropea, possono essere banali. A volte si scopre che non sono sono state impostate password; in altri casi, le credenziali di accesso ai sistemi non sono mai state cambiate dopo l’installazione. In altri ancora, “un certo livello di autenticazione può essere presente, ma con credenziali deboli, o addirittura con le impostazioni di fabbrica”, afferma la società. “Password come admin, demo, secret, 123456, 123456789 sono comuni e molto facili da indovinare o da scoprire con attacchi di forza bruta”. “Questo tipo di credenziali predefinite, peraltro, sono spesso reperibili online”.

Terapia intensiva

Uscirne non è semplice. Anche perché usare password e autenticazioni deboli in ambiente ospedaliero non è semplicemente il frutto di distrazione o ignoranza: a volte si tratta di una scelta deliberata. In terapia intensiva, per esempio, un reparto dove la velocità è tutto, la necessità di fare in fretta può portare a prendersi qualche rischio rischio di troppo in termini di sicurezza informatica: cosa accadrebbe se, in caso di bisogno, un macchinario salvavita non funzionasse perché l’operatore sanitario non conosce le credenziali di accesso e non riesce a recuperarle?

L’obsolescenza dei dispositivi rappresenta un altro problema: sistemi ancora in uso, nonostante siano da tempo privi di supporto e di aggiornamenti, sono diffusi. “Gli hacker malevoli sanno quali macchine non dispongono più di patch di sicurezza, e le tengono in cima alla lista quando si tratta di scegliere l’obiettivo dei loro attacchi”, afferma El Yadmani.

A conferma del fatto che quello della sanità è un ambito dotato di particolarità che lo rendono incline al rischio, programmare la manutenzione dei dispositivi in un ospedale non è semplice: i nosocomi cercano di spegnere il meno possibile i propri sistemi, dal momento che sono impegnati a fornire un servizio essenziale. E i cracker lo sanno.

Cambiare il contenuto dei referti per aumentare l’incertezza

Ma c’è un altro pericolo oltre al furto delle informazioni, molto meno considerato e, forse, proprio per questo, potenzialmente più allarmante: quello della manipolazione dei dati sanitari sui server. Informazioni di cui siamo abituati a fidarci possono diventare completamente inattendibili se prese di mira deliberatamente da un attore malevolo.

L’aumento dell’entropia potrebbe paralizzare l’attività ospedaliera: cosa accadrebbe se i medici non potessero più fidarsi del contenuto delle cartelle cliniche archiviate nei dispositivi? Ci sarebbe il tempo di ripetere gli esami? Quanto costerebbe alla collettivià in termini economici e di vite? Domande, come è ovvio, retoriche.

Il fatto è che le nostre interazioni con la macchina sono basate sulla fiducia. E accorgersi di questi attacchi può non essere semplice. Tornando all’Italia, secondo gli ultimi dati dell’Agenzia per la cybersicurezza nazionale, nel primo semestre del 2026 quello sanitario è uno dei tre settori più bersagliati dai criminali informatici, assieme a tecnologico e manifatturiero. Insomma, c’è poco da stare tranquilli.

Da Microsoft a Scaleway, la scelta dei francesi di passare al cloud sovrano

A chiudere il cerchio dei pericoli per la cybersicurezza in sanità c’è, ovviamente, la questione del cloud, cioè delle infrastrutture informatiche su cui si appoggiano moltissime applicazioni che utilizziamo. Il pericolo non arriva più solo da Oriente: anche gli Stati Uniti di Donald Trump rappresentano una minaccia per chi sa guardare oltre le apparenze.

La Francia ha già scelto, migrando dall’americana Microsoft all’autoctona Scaleway, azienda del fondatore transalpino di Iliad Javier Niel. Non è un caso isolato: sono diverse le municipalità che hanno scelto di rivolgersi a fornitori autoctoni, continentali o, al massimo, svizzeri.

Del resto, episodi come il blocco degli account del procuratore della Corte penale internazionale Kharim Khan e della relatrice speciale dell’Onu Francesca Albanese hanno spinto già da tempo molti amministratori a riflettere. La chiosa arriva da Jaques Attali, ex ministro francese che potrebbe entrare nella corsa per l’Eliseo: l’IA, ha detto il politico, è la Hormuz di Donald Trump. Meglio correre ai ripari.