Ransomware: un caso di scuola

Giusto venerdì scorso dibattevo a Bologna di cyber security con Cristiano Leggeri, Direttore della Terza Divisione Servizio Polizia Postale, e con all'ammiraglio Gianluca Galasso Head of Operations/CSIRT Italia e National Cybersecurity Agency.

Nell’occasione, come in molte altre, andavamo dicendo quanto sia fondamentale la cultura e la consapevolezza degli utenti e di quanto possano essere economicamente disastrosi gli effetti di un attacco cyber. A valle dell’incontro ho pensato che potesse essere utile raccontare un caso emblematico che dimostrasse come le nostre posizioni potessero essere corroborate dai fatti. Devo dire che ho impiegato meno di cinque minuti a trovare una vicenda recente che rispondesse ai requisiti.

Siamo agli inizi di maggio quando Ascension Group, uno dei principali gruppi ospedalieri degli Stati Uniti, operativo con diverse strutture in una ventina di stati, si trova i sistemi paralizzati da un attacco ransomware. Il ripristino dei sistemi richiede oltre un mese di lavoro, ma sulla testa del gruppo pende l’ulteriore spada di Damocle della possibile divulgazione di dati personali di pazienti e dipendenti che potrebbero essere stati esfiltrati dal gruppo criminale Black Basta, autore dell’attacco.

In aggiunta, pochi giorni dopo l’attacco si ritrova a dover fronteggiare due richieste di risarcimento danni, una in Illinois e l’altra in Texas, promosse dai propri pazienti. L’ammontare dei danni non è quindi ancora quantificabile, ma di certo sarà un numero a piacere seguito da sei zeri.

Come è potuto accadere? La risposta è arrivata pochi giorni orsono. Come al solito: un utente ha involontariamente scaricato un malware all’interno dei sistemi. Posso capire come per chi fa il mio mestiere si tratti di una “non-notizia”, ma forse non sono soltanto i miei colleghi a leggermi e ancora una volta voglio illudermi che un singolo fatto possa raccontare meglio di mille parole.