*Un attacco da 50 milioni di dollari, un paziente morto, 900.000 cartelle cliniche rubate. La storia di come un singolo colpo informatico abbia messo in ginocchio la sanità pubblica britannica per oltre 18 mesi.*
—
## L’attacco
Il 3 giugno 2024, il gruppo ransomware russo **Qilin** colpisce **Synnovis**, il principale fornitore di servizi di patologia e analisi del sangue per il NHS del Sud-Est di Londra, inclusi il Guy’s and St Thomas’ NHS Foundation Trust e il King’s College Hospital NHS Foundation Trust.
La richiesta: **50 milioni di dollari**. Il rifiuto di pagare ha un costo immediato e devastante.
In poche ore, la capacità di testing dell’intera rete ospedaliera crolla al **10% del normale volume**. Non si tratta di un disagio amministrativo: si parla di esami del sangue, tipizzazioni, analisi oncologiche. Servizi su cui medici e pazienti dipendono ogni giorno per decisioni cliniche urgenti.
—
## Il bilancio umano
I numeri freddi raccontano solo una parte della storia:
- **Oltre 10.000 appuntamenti cancellati**
- **1.700 procedure elettive rinviate**
- **2 casi di danno grave al paziente, 11 moderati, oltre 120 minori**
- **1 decesso** direttamente collegato come fattore contributivo, causato dal ritardo nei risultati delle analisi del sangue
Quest’ultimo dato è particolarmente significativo. Non è frequente che un’indagine ufficiale stabilisca un legame diretto tra un attacco informatico e una morte. In questo caso, è accaduto. Un paziente è morto anche perché un sistema informatico era stato cifrato da criminali russi.
Parallelamente, Qilin pubblica online le **cartelle cliniche sensibili di circa 900.000 pazienti**, completando la doppia tattica di estorsione che caratterizza i gruppi ransomware moderni: prima si cifrano i dati, poi si minaccia di renderli pubblici.
—
## Un problema annunciato
Ciò che rende questo caso ancora più difficile da digerire è che le vulnerabilità nei sistemi ospedalieri londinesi erano **note da anni** prima dell’attacco. Non si tratta di una sofisticata intrusione zero-day: si tratta, almeno in parte, di falle irrisolte su sistemi legacy, lo stesso tipo di debolezze strutturali che nel 2017 avevano permesso al ransomware WannaCry di paralizzare il NHS a livello nazionale.
La storia si ripete perché le lezioni non vengono applicate.
—
## Un trend globale che non accenna a fermarsi
Il caso Synnovis non è isolato. Il settore sanitario è diventato il bersaglio preferito dei gruppi ransomware per una ragione semplice: **la posta in gioco è altissima**, e la pressione a pagare è massima quando in gioco ci sono vite umane.
A febbraio 2024, **Change Healthcare** negli Stati Uniti viene colpita dal gruppo ALPHV. Il risultato: interruzioni alla fatturazione sanitaria in tutto il paese, e un riscatto di **22 milioni di dollari effettivamente pagato**. Un segnale devastante per l’intero ecosistema della sicurezza, che dimostra ai criminali che la strategia funziona.
Poco dopo, **McLaren Health Care** viene colpita due volte nello stesso anno dal gruppo Inc Ransom, con 743.000 cartelle cliniche esposte. La seconda intrusione sfrutta vulnerabilità non corrette dopo il primo attacco. Un caso da manuale su cosa non fare nella fase di remediation post-incidente.
—
## Cosa insegna Synnovis
Dopo 18 mesi di disruption, alcune lezioni sono chiare:
**Sul piano tecnico**: patching sistematico dei sistemi legacy, autenticazione a più fattori, segmentazione della rete per limitare il movimento laterale, backup offline e air-gapped. Sono misure note, spesso non implementate.
**Sul piano operativo**: i sistemi di patologia devono avere ridondanza. Quando un fornitore centralizzato come Synnovis cade, l’intera rete ospedaliera rimane cieca. La dipendenza da un singolo punto di failure è un rischio sistemico inaccettabile in ambito sanitario.
**Sul piano strategico**: pagare il riscatto alimenta il ciclo. La resilienza, non il pagamento, deve essere l’obiettivo primario di qualsiasi piano di risposta agli incidenti.
Il caso Synnovis rimarrà nella storia della cybersecurity sanitaria non solo per la sua scala, ma perché per la prima volta in modo documentato ha attraversato la linea tra danno digitale e morte reale.
—
- *Fonti:**
- Insurance Journal – [London Hospital Cyberattack Coverage](https://www.insurancejournal.com/news/international/2025/01/15/808371.htm)
- TechRadar – [London Hospital Vulnerabilities Known Before Attack](https://www.techradar.com/pro/london-hospital-vulnerabilities-were-known-years-before-cyberattack)
- HIPAA Journal – [Patient Death Linked to Ransomware Attack](https://www.hipaajournal.com/patient-death-linked-to-ransomware-attack/)
Fonte: Articolo originale