Allarme Ransomware: quando un ospedale viene hackerato

Comprendere l’impatto reale dei virus informatici quando colpiscono le strutture di emergenza

Quando un ospedale viene colpito da un ransomware, non si blocca “solo” un computer: si inceppa una macchina gigantesca fatta di persone, cartelle cliniche, esami, sale operatorie, ambulanze, vite appese ai minuti. È un po’ come se qualcuno spegnesse, con un unico interruttore, il sistema nervoso di un corpo intero: i segnali non circolano più e ogni organo inizia a lavorare alla cieca.​

Il giorno in cui tutto si ferma

Immagina un grande ospedale cittadino, un martedì qualsiasi. Il pronto soccorso è pieno, le barelle occupano i corridoi, in sala operatoria è in corso un intervento programmato, i reparti stanno preparando dimissioni e nuovi ricoveri. All’improvviso i monitor dei PC si oscurano e ricompare una schermata rossa: tutti i dati sono stati cifrati, i server sono irraggiungibili, per riavere accesso occorre pagare un riscatto in criptovaluta.​

Nel giro di pochi minuti, l’ospedale dichiara il cosiddetto “downtime”: i sistemi informatici vengono considerati non più affidabili, i pronto soccorso iniziano a deviare le ambulanze verso altre strutture, gli interventi non urgenti vengono sospesi. È già successo: in Germania, a Düsseldorf, un attacco ha mandato in tilt i sistemi di un ospedale universitario, costringendo al trasferimento una paziente grave verso una struttura a oltre 30 chilometri, con esito tragico; casi simili si sono visti anche in Regno Unito, durante l’ondata di WannaCry, e più di recente in incidenti che hanno colpito ospedali europei e statunitensi.​

Cartelle cliniche ostaggio dei criminali

Il cuore digitale di un ospedale è il sistema di Electronic Health Records (EHR): le cartelle cliniche elettroniche che contengono anamnesi, allergie, terapie, esami, contatti, consensi informati. Quando un ransomware colpisce, spesso la prima vittima è proprio questo sistema. I medici improvvisamente non vedono più la storia del paziente, non possono consultare esami pregressi, non sanno quali farmaci siano stati somministrati nelle ore o nei giorni precedenti.​

In teoria si può tornare alla carta, in pratica il passaggio non è né immediato né indolore. Servono moduli cartacei, procedure di emergenza, personale che sappia ancora lavorare senza i supporti digitali, tempo per ricostruire manualmente informazioni che prima erano a portata di click. Nel frattempo il rischio di errori aumenta: una terapia non aggiornata, un’allergia dimenticata, un esame duplicato o mancato perché nessuno ricorda se sia stato eseguito.​

A peggiorare il quadro c’è il modello di doppia (e tripla) estorsione ormai tipico dei gruppi ransomware: non solo cifrano i dati, ma li copiano e minacciano di pubblicarli se l’ospedale non paga. Le cartelle cliniche diventano così merce sul Dark Web: diagnosi, risultati di test, patologie sensibili possono essere venduti, usati per ricatti mirati o per frodi assicurative.​

Quando si attacca l’“Internet of Bodies”

Negli ultimi anni la sanità è diventata un gigantesco Internet of Medical Things (IoMT): dispositivi connessi che monitorano, misurano, regolano funzioni vitali, dal ventilatore in terapia intensiva al pacemaker, dalle pompe di infusione alle pompe di insulina. Il concetto di Internet of Bodies porta al limite questa idea: il corpo del paziente è letteralmente agganciato a una rete di sensori, software e infrastrutture digitali che dialogano tra loro.​

In questo scenario, un attacco non si limita a bloccare le “carta” digitale, ma può arrivare a interferire con i dispositivi stessi. Nel caso più comune, il ransomware colpisce la rete ospedaliera che coordina questi strumenti: se la piattaforma che controlla le pompe di infusione non è raggiungibile o è considerata compromessa, il personale è costretto a passare al controllo manuale, con un carico di lavoro enorme e margini d’errore più alti. In scenari più estremi – già discussi da tempo dagli esperti di cybersecurity – vulnerabilità nei dispositivi connessi potrebbero consentire a un attaccante di modificare parametri critici (dosaggi, impulsi elettrici, allarmi) con conseguenze potenzialmente letali.​

Se Stuxnet è stato il simbolo di come un malware possa sabotare infrastrutture fisiche industriali, attacchi simili, adattati al mondo sanitario, potrebbero colpire direttamente l’“infrastruttura” più delicata di tutte: il corpo umano agganciato alle sue protesi digitali. È una minaccia ancora in parte teorica per la maggioranza dei casi, ma tecnicamente possibile e già osservata in incidenti su dispositivi e sistemi medici meno protetti.​

Il costo in vite, non solo in milioni

Da anni le analisi sottolineano che gli attacchi ransomware in sanità non sono un problema puramente economico. Studi su ospedali colpiti mostrano aumenti di mortalità e peggioramento degli esiti clinici nei giorni e nelle settimane successive all’attacco: le cure vengono ritardate, le diagnosi rallentano, alcuni pazienti ad alto rischio vengono trasferiti altrove con tutto ciò che comporta in termini di tempo e complessità.​

Le strutture devono affrontare contemporaneamente la gestione dell’emergenza, il recupero dei sistemi, il dialogo con le autorità e – spesso – la pressione mediatica e legale di pazienti e familiari. In parallelo, c’è il danno reputazionale e normativo: violazioni di GDPR e normative sulla protezione dei dati sanitari comportano indagini, multe e obblighi di notifica, che si sommano ai costi tecnici di bonifica e ripristino.​

Un rischio concreto

Ogni ospedale colpito da un ransomware è, suo malgrado, un laboratorio a cielo aperto su come la trasformazione digitale della sanità stia creando un nuovo tipo di infrastruttura critica, dove il confine tra “informatica” e “clinica” è sempre più sottile. La lezione che emerge da casi in Europa e negli Stati Uniti è chiara: non esistono più “problemi IT” separati dai problemi di reparto, esistono solo problemi di sicurezza che, se non risolti, arrivano fino al letto del paziente.​

Paradossalmente, proprio questi incidenti stanno spingendo molti sistemi sanitari a ripensare architetture, backup, segmentazione di rete, formazione del personale e piani di incident response, trattando il dato sanitario come un bene vitale quanto il sangue in una banca del sangue. In un mondo in cui ogni monitor, pompa, respiratore è un potenziale punto di ingresso, la vera terapia intensiva non è solo quella dei pazienti, ma quella costante su reti, sistemi e dispositivi che tengono in vita l’ospedale stesso.​