Nel maggio 2023, l’attacco ransomware alla ASL 1 Abruzzo ha colpito duramente uno dei principali enti sanitari regionali italiani. L’incidente ha compromesso sistemi critici, esposto dati sensibili e aperto un procedimento del Garante della Privacy. È un caso che ogni CISO del settore pubblico dovrebbe studiare con attenzione.
Il gruppo Monti e l’attacco alla ASL 1 Abruzzo
Chi è Monti e come opera
Il gruppo Monti è emerso a metà 2022. Ha ripreso tattiche, infrastrutture e persino parte del codice sorgente di Conti, il noto gruppo ransomware smantellato in precedenza. Tuttavia, Monti è considerato un attore autonomo, non una semplice ridenominazione.
Il modello operativo è quello della doppia estorsione. Prima si cifrano i sistemi della vittima. Poi si esfiltrano i dati. Infine si minaccia la pubblicazione se il riscatto non viene pagato. Monti ha colpito ospedali, enti pubblici, istituti legali e organizzazioni finanziarie in più paesi.
In particolare, alcuni ricercatori hanno collegato parte dell’attività di Monti a Mikhail Matveev, noto come “Wazawaka”. Si tratta di un attore sanzionato con precedenti legami a LockBit, Babuk e NoEscape. Questo suggerisce un ecosistema criminale fluido, basato su affiliati e talenti condivisi.
La dinamica dell’incidente
L’attacco ransomware alla ASL 1 Abruzzo ha disabilitato sistemi informativi essenziali. Sono stati coinvolti 10.631 individui in una violazione di dati personali certificata. Il Garante della Privacy ha ordinato la notifica agli interessati entro 15 giorni.
Inoltre, i dati non sono stati solo cifrati. Circa 520 GB di informazioni sono stati esfiltrati e pubblicati online. Di questi, circa il 60% riguardava dati personali. Si tratta di informazioni sanitarie, anagrafiche e amministrative di pazienti e dipendenti.
Implicazioni GDPR e risposta del Garante
L’intervento dell’autorità italiana
Il Garante per la protezione dei dati personali ha avviato un’istruttoria sull’incidente. L’esito ha incluso un’ammonizione formale all’ASL 1 Abruzzo. Il provvedimento ha imposto la notifica agli interessati, riconoscendo la gravità della violazione.
Di conseguenza, l’incidente non si è limitato a un problema operativo. È diventato un caso regolatorio con obblighi legali precisi. Questo è il punto che molti manager sottovalutano: un attacco ransomware nel settore sanitario quasi sempre genera una notifica GDPR obbligatoria.
Perché la sanità è un bersaglio privilegiato
Il settore sanitario combina tre fattori critici. Primo, alta dipendenza operativa dai sistemi IT. Secondo, enormi volumi di dati personali sensibili. Terzo, budget di sicurezza spesso insufficienti rispetto alle dimensioni del rischio.
Parallelamente, casi analoghi confermano il trend globale. L’attacco a Change Healthcare nel 2024 ha paralizzato i pagamenti sanitari negli Stati Uniti. L’attacco a Synnovis nel giugno 2024 ha bloccato i servizi di patologia di grandi ospedali londinesi. In tutti i casi, il danno reale ha superato di gran lunga l’evento tecnico iniziale.
Vale la pena sottolineare che la ASL 1 Abruzzo non è un caso isolato. È la rappresentazione concreta di un rischio sistemico che riguarda tutta la sanità pubblica italiana ed europea.
Come ridurre il rischio: controlli prioritari per CISO e manager
Prevenzione dell’accesso iniziale e contenimento laterale
La maggior parte degli attacchi ransomware inizia da credenziali compromesse o da accessi remoti esposti. Di conseguenza, le priorità difensive sono chiare.
In primo luogo, occorre implementare l’autenticazione multi-fattore resistente al phishing. Poi, è necessario rimuovere i percorsi di accesso remoto insicuri, come RDP esposto. Infine, bisogna adottare una gestione rigorosa delle credenziali privilegiate e applicare patch sistematiche ai sistemi esposti a internet.
Inoltre, la segmentazione di rete e le soluzioni EDR riducono significativamente la capacità dell’attaccante di muoversi lateralmente dopo l’accesso iniziale.
Resilienza operativa e risposta agli incidenti
Per un gruppo come Monti, la prevenzione da sola non basta. La resilienza operativa è altrettanto critica. Questo significa backup offline o immutabili, procedure di ripristino testate regolarmente e runbook di disaster recovery aggiornati.
In questo contesto, esercitare periodicamente i playbook di risposta agli incidenti non è un’opzione. È una necessità. Gli ospedali che hanno gestito meglio gli attacchi recenti erano quelli con procedure manuali di fallback già pronte e team addestrati.
Infine, per prevenire l’esfiltrazione, servono anche strumenti di monitoraggio del traffico in uscita, classificazione dei dati e DLP. Sapere quali sistemi contengono dati GDPR-rilevanti è il primo passo per proteggerli davvero.
Conclusione
L’attacco ransomware alla ASL 1 Abruzzo è una lezione concreta su ciò che può accadere quando prevenzione, rilevamento e risposta non sono allineati. Il costo non è solo tecnico. È regolatorio, reputazionale e umano. Per i CISO del settore pubblico, questo caso è un riferimento che non si può ignorare.
Fonti:
- Provvedimento Garante Privacy – ASL 1 Abruzzo
- ZeroZone – Analisi dell’attacco ransomware ASL 1 Abruzzo
- Diritto.it – Gravità del danno e novità CGUE
- Fonte originale – ICT Security Magazine
Fonte: Articolo originale
Casi come quello della ASL 1 Abruzzo evidenziano quanto sia critica la capacità di condividere tempestivamente threat intelligence tra enti sanitari e autorità competenti. IsacChain risponde a questa esigenza con una piattaforma di condivisione sicura delle informazioni sulle minacce, che integra la compliance NIS2 in modo automatizzato e garantisce l’integrità di ogni dato condiviso tramite verifica blockchain. Per strutture sanitarie pubbliche e CISO del settore, disporre di questi strumenti può fare la differenza tra contenimento rapido e danno sistemico. Scopri come IsacChain può aiutare la tua organizzazione su www.isacchain.com