ATTACCHI · RANSOMWARE CON FERMO OPERATIVO
ULSS 6 Euganea, dicembre 2021: i dati sanitari di 7.000 padovani online
Nella notte tra il 2 e il 3 dicembre 2021 LockBit 2.0 ha cifrato e copiato i dati dell'azienda sanitaria di Padova, con un blocco dei sistemi durato diversi giorni. L'ULSS e la Regione Veneto hanno rifiutato di pagare; a metà gennaio 2022 il gruppo ha pubblicato le cartelle cliniche di circa 7.000 pazienti.
- Vittima
- ULSS 6 Euganea
- Settore
- Sanità pubblica
- Paese
- Italia
- Data
- 3 dicembre 2021
- Categoria
- Ransomware con fermo operativo
- Causa
- Non nota
- Attore
- Criminale (rivendicato). LockBit 2.0, che ha rivendicato l'attacco
- Scenari di danno
- Business interruption propria · Notifica e responsabilità privacy · Estorsione
Le cause in breve
- Accesso iniziale. Non noto: l'azienda sanitaria non lo ha comunicato.
- Doppia estorsione. Il ransomware ha bloccato i dati e ne ha copiato una parte, poi usata per fare pressione (Open).
- Dati molto sensibili. Cartelle con malattie croniche, tumori, dipendenze e casi di abuso erano raggiungibili dagli attaccanti (Open).
L'impatto
- Sistemi fermi per diversi giorni, con prenotazioni, referti e attività sospese (Open; Il Fatto Quotidiano).
- Cartelle cliniche di circa 7.000 pazienti pubblicate nella notte tra il 15 e il 16 gennaio 2022 (Open).
- Riscatto tra 800.000 euro e 2,2 milioni secondo la stampa, mai confermato; nessun pagamento (Open).
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine forense, consulenza legale e comunicazione ai pazienti rientrano nella risposta.
- Ripristino di dati e sistemiRispondeIl ripristino dei sistemi cifrati rientra nel ripristino.
- Business interruption propriaRisponde con limitiUn'azienda sanitaria pubblica non perde fatturato: rispondono solo i costi aggiuntivi per garantire i servizi.
- Business interruption dipendente (fornitore)Non pertinenteIl danno è sui sistemi dell'assicurato.
- EstorsioneDipende dal wordingNon c'è stato pagamento: la garanzia risponde per le spese di gestione della richiesta.
- Notifica e responsabilità privacyRispondeDati sanitari molto sensibili pubblicati: notifiche e assistenza ai pazienti sono il costo tipico della garanzia.
- Responsabilità verso terzi e sanzioni, dove assicurabiliRisponde con limitiI pazienti possono chiedere i danni per la pubblicazione delle cartelle, ma le fonti non riportano cause.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Sanzioni del Garante. In Italia le sanzioni amministrative di solito non sono assicurabili.
- Danni alla salute. Un ritardo nelle cure con danno al paziente andrebbe nella responsabilità civile sanitaria, non nella cyber.
- Enti pubblici. Molte aziende sanitarie non hanno una polizza cyber e coprono il rischio in proprio.
La lettura per chi assume il rischio
Impatto per gli assicuratoriMedio
Servizi sanitari locali fermi per giorni e dati clinici molto sensibili pubblicati.
Nessun segnale di cumulo.