Cyber insurance: gli eventi di aprile 2025

Yale New Haven Health, i dati di Blue Shield of California inviati a Google, DaVita, Sensata e Nova Scotia Power: i cinque eventi cyber di aprile 2025 letti da chi assume il rischio. Con l'impatto sulle polizze e le domande per i rinnovi.

Archivio: ricostruzione scritta a novembre 2026

Mese di aprile 2025

Aprile 2025 è il mese della sanità e delle aziende che dichiarano l'impatto alla SEC. Un sistema ospedaliero del Connecticut notifica oltre 5,5 milioni di pazienti dopo un attacco di marzo. Un'assicurazione sanitaria californiana scopre di aver inviato per anni dati dei propri iscritti alla piattaforma pubblicitaria di Google per un errore di configurazione. Un grande gruppo di dialisi e un produttore di sensori comunicano attacchi ransomware che toccano le operazioni, mentre un'utility elettrica canadese annuncia un'intrusione nei sistemi informatici. Per chi assume il rischio cyber, aprile 2025 mostra due modi diversi di perdere dati sanitari: un attacco e una configurazione sbagliata.

In sintesi

Yale New Haven Health: 5.556.702 persone coinvolte in un attacco iniziato a marzo; lettere di notifica dal 14 aprile, nessun impatto sulle cure.
Blue Shield of California: fino a 4,7 milioni di iscritti; tra aprile 2021 e gennaio 2024 dati inviati a Google Ads per una configurazione errata di Google Analytics.
DaVita: il 12 aprile un ransomware cifra parti della rete del gruppo di dialisi; le cure proseguono con piani di emergenza.
Sensata Technologies: il 6 aprile un ransomware ferma spedizioni, ricevimento merci e produzione, con file sottratti.
Nova Scotia Power ed Emera: il 28 aprile annunciato un accesso non autorizzato ai sistemi informatici; produzione e distribuzione elettrica non toccate.

Gli attacchi del mese

1. Yale New Haven Health: 5,5 milioni di pazienti

Yale New Haven Health, sistema sanitario del Connecticut, aveva comunicato l'11 marzo 2025 un incidente informatico che aveva interrotto telefonia, connessione internet e applicazioni nelle sedi. Ad aprile la notifica alle autorità sanitarie statunitensi ha indicato 5.556.702 persone coinvolte, con lettere inviate dal 14 aprile. Sono coinvolti nomi, date di nascita, indirizzi, contatti, origine etnica, numeri di cartella clinica e, per una parte delle persone, numeri di previdenza sociale. Secondo l'organizzazione le cure, il portale dei pazienti e le cartelle cliniche elettroniche non sono stati toccati (The Register).

2. Blue Shield of California: i dati inviati a Google

Il 9 aprile 2025 Blue Shield of California ha pubblicato un avviso: da aprile 2021 a gennaio 2024 Google Analytics, inserito nelle pagine del sito, era configurato in modo da passare i dati dei visitatori a Google Ads, che potrebbe averli usati per pubblicità mirata. Sono coinvolti fino a 4,7 milioni di iscritti. I dati variano da persona a persona: date delle prestazioni e strutture usate, nomi, dettagli del piano assicurativo, città e codice postale, identificativi del conto e ricerche fatte con lo strumento di ricerca dei medici. La società ha scoperto il problema l'11 febbraio 2025 e dichiara che non è coinvolto alcun attaccante (The Register).

È un sinistro senza criminali: il danno nasce da uno strumento di tracciamento installato dall'assicurato stesso.

3. DaVita: il ransomware nella dialisi

DaVita, uno dei maggiori fornitori di dialisi negli Stati Uniti, ha comunicato alla SEC di essere venuta a conoscenza il 12 aprile 2025 di un attacco ransomware che ha cifrato alcune parti della rete. La società ha attivato piani di emergenza e ha dichiarato di continuare a fornire le cure ai pazienti, pur con alcune operazioni ancora colpite (SEC).

4. Sensata Technologies: produzione e spedizioni ferme

Il 6 aprile 2025 Sensata Technologies, produttore di sensori e componenti industriali, ha subito un attacco ransomware che ha cifrato alcuni dispositivi della rete. Secondo la comunicazione alla SEC sono state colpite spedizioni, ricevimento merci, produzione e varie funzioni di supporto, e l'indagine preliminare ha trovato prove della sottrazione di file. La società ha introdotto misure temporanee senza indicare una data per il ripristino completo (SEC).

5. Nova Scotia Power ed Emera: l'utility colpita

Il 28 aprile 2025 Nova Scotia Power, fornitore di elettricità per oltre 500.000 clienti in Canada, e la capogruppo Emera hanno annunciato un accesso non autorizzato a parti della rete e a server aziendali. Produzione e distribuzione dell'elettricità non sono state toccate. Nelle settimane successive la società ha confermato il furto di dati dei clienti, tra cui nomi, indirizzi, date di nascita, storico dei pagamenti, numeri di patente e di previdenza sociale e, per alcuni, coordinate bancarie; l'intrusione risaliva al 19 marzo (BleepingComputer).

Altri eventi da segnalare

Office of the Comptroller of the Currency (pubblica amministrazione): l'8 aprile diventa pubblico che attaccanti, entrati da un account amministratore, hanno letto per oltre un anno la posta di dipendenti dell'autorità di vigilanza bancaria statunitense; l'attività era stata confermata il 12 febbraio.
Hertz (noleggio auto): notifiche ai clienti di Hertz, Dollar e Thrifty per dati sottratti attraverso le vulnerabilità di Cleo sfruttate tra ottobre e dicembre 2024, tra cui patenti e, in rari casi, numeri di previdenza sociale.
Ahold Delhaize (grande distribuzione): il 17 aprile il gruppo conferma che file sono stati sottratti da sistemi aziendali statunitensi nell'attacco di novembre 2024, dopo che INC Ransom lo ha inserito nel proprio sito.

Impatto assicurativo

Yale New Haven Health. Coperture potenzialmente attivate: notifica, monitoraggio del credito, responsabilità per dati sanitari, cause collettive. Potenziale di cumulo: basso. Nodo contrattuale: il volume delle persone coinvolte rispetto ai sottolimiti per la notifica.
Blue Shield of California. Coperture potenzialmente attivate: responsabilità per la privacy, spese legali, sanzioni dove assicurabili. Potenziale di cumulo: medio, per tutti gli assicurati che usano strumenti di tracciamento simili. Nodo contrattuale: la raccolta illecita di dati e la sua copertura in polizze pensate per attacchi esterni.
DaVita. Coperture potenzialmente attivate: interruzione di attività, ripristino, estorsione, notifica. Potenziale di cumulo: basso. Nodo contrattuale: i costi dei piani di emergenza per mantenere le cure.
Sensata Technologies. Coperture potenzialmente attivate: interruzione di attività, ripristino, estorsione, notifica. Potenziale di cumulo: medio, per i clienti industriali che dipendono dalle forniture. Nodo contrattuale: l'interruzione di attività dei clienti per mancata consegna dei componenti.
Nova Scotia Power ed Emera. Coperture potenzialmente attivate: gestione dell'incidente, notifica, monitoraggio del credito. Potenziale di cumulo: basso. Nodo contrattuale: la separazione tra sistemi informatici e rete elettrica nella definizione del danno.

Il tracciamento è un rischio privacy. Blue Shield mostra che un pixel o uno script di analisi può produrre un sinistro di milioni di persone senza alcun attacco. Le domande sul questionario devono coprire anche gli strumenti di marketing.

La sanità continua a curare. Yale New Haven e DaVita mantengono le cure con piani di emergenza. Il danno si concentra sui dati e sui costi di ripristino, più che sull'interruzione delle prestazioni.

Le comunicazioni alla SEC fissano i fatti. DaVita e Sensata descrivono date, sistemi colpiti e furto di file entro pochi giorni. Sono la base più solida per valutare il sinistro nelle prime settimane.

Cosa portare nei rinnovi

Quali strumenti di analisi e pubblicità di terzi sono installati nei siti e nelle app dell'assicurato, e chi ne verifica la configurazione?
L'assicurato tratta dati sanitari, e con quali obblighi di notifica e quali tempi?
Esistono piani di emergenza per mantenere servizi essenziali con i sistemi fermi, e sono stati provati?
I sistemi di produzione e logistica sono separati dalla rete aziendale?
Gli account amministrativi della posta e del cloud sono protetti e monitorati?
L'assicurato conosce le vulnerabilità degli strumenti di trasferimento file usati dai propri fornitori?

Sul lato portafoglio, aprile 2025 suggerisce di trattare gli strumenti di tracciamento sui siti come una fonte di cumulo per la responsabilità privacy, e di seguire le comunicazioni alla SEC per stimare presto i sinistri delle società quotate.