Che cosa è successo

Alla fine di agosto 2026 il Gruppo Policlinico Triestino è stato colpito da un grave attacco informatico che ha reso indisponibili i sistemi utilizzati dalle sue strutture sanitarie in Friuli-Venezia Giulia.

Dal pomeriggio del 31 agosto computer e sistemi informativi sono diventati inutilizzabili; sono risultati fuori servizio anche le linee telefoniche, la posta elettronica e il sito web del Gruppo. L'incidente ha interessato tutte le strutture regionali, mentre quelle situate fuori dal Friuli-Venezia Giulia non sono state coinvolte.

Nei giorni successivi l'attacco è stato attribuito a INC Ransom, gruppo cybercriminale attivo dal 2023 e noto per numerosi attacchi ransomware, anche contro organizzazioni sanitarie. Il Policlinico ha dichiarato di non avere pagato alcun riscatto e di non avere avviato trattative con gli attaccanti.

Ma come può un ransomware arrivare a bloccare un intero sistema informativo di una grande organizzazzione come un ospedale?

Il ransomware non deve necessariamente compromettere fisicamente ogni singolo computer dell'organizzazione. Una volta ottenuto un primo accesso alla rete, gli attaccanti cercano normalmente di acquisire privilegi più elevati e di spostarsi verso altri sistemi, server e risorse condivise. Possono quindi cifrare file e sistemi oppure rendere indisponibili servizi centrali dai quali dipendono numerose applicazioni aziendali.

Il risultato può propagarsi all'intera organizzazione: anche sistemi non direttamente cifrati possono infatti diventare inutilizzabili se non riescono più ad accedere ai server, ai database, ai sistemi di autenticazione o alle applicazioni centrali da cui dipendono.

Nel modello utilizzato da gruppi come INC Ransom, l'attacco può comprendere diverse fasi: accesso iniziale, persistenza nella rete, acquisizione di privilegi, movimento laterale, eventuale esfiltrazione dei dati e infine cifratura o blocco dei sistemi. Gli attaccanti possono quindi chiedere un riscatto sia per consentire il recupero dei sistemi sia per evitare la pubblicazione di eventuali dati sottratti, secondo il modello della cosiddetta doppia estorsione.

Per il Policlinico Triestino non risultano però pubblicamente noti il vettore iniziale dell'attacco né la sequenza tecnica completa dell'intrusione. Nei primi giorni successivi all'incidente gli investigatori stavano ancora verificando attraverso quale punto gli attaccanti fossero entrati nella rete, per quanto tempo vi fossero rimasti e se fossero riusciti anche a sottrarre informazioni.

Il nome del Policlinico era inoltre comparso sul leak site di INC Ransom. La presenza su un sito di rivendicazione non costituisce tuttavia, da sola, prova dell'effettiva sottrazione o pubblicazione dei dati.

 

Quali sono state le conseguenze

In questo caso l'aspetto più significativo non è stato soltanto il danneggiamento dei sistemi informaticv, ma il suo impatto diretto sull'erogazione delle prestazioni sanitarie.

Il blocco dei sistemi ha interessato oltre quindici strutture sanitarie e assistenziali del Gruppo in Friuli-Venezia Giulia. Sono state sospese o fortemente limitate diverse attività: visite, analisi di laboratorio, diagnostica, ricoveri, prenotazioni e alcuni interventi chirurgici. Anche l'accesso ai referti è risultato compromesso.

L'indisponibilità dei sistemi ha inoltre costretto il personale, dove possibile, a ricorrere a procedure manuali. Alla Casa di Cura Salus, ad esempio, nei primi giorni dopo l'incidente il personale dichiarava di dover registrare le informazioni a mano, non potendo fare affidamento sui sistemi tecnologici normalmente utilizzati.

Il ripristino non è stato immediato. Le attività sono riprese progressivamente e solo intorno alla metà di settembre il Gruppo ha annunciato il ritorno alla piena operatività, compresi laboratorio di analisi, diagnostica per immagini e sistemi per la consultazione dei referti.

Il caso dimostra quindi come, in ambito sanitario, un incidente cyber possa trasformarsi rapidamente da problema informatico a problema di continuità del servizio.

Un ospedale dipende infatti dai sistemi digitali per una parte crescente delle proprie attività: identificazione dei pazienti, prenotazioni, cartelle cliniche, diagnostica, refertazione, comunicazioni, gestione amministrativa e coordinamento delle prestazioni.

Se alcuni sistemi centrali diventano indisponibili, l'effetto può quindi propagarsi a numerosi processi operativi, anche quando le apparecchiature medicali non sono state direttamente compromesse.

 

I principali insegnamenti

Il caso del Policlinico Triestino evidenzia innanzitutto che la difesa dal ransomware non può essere affidata a una sola tecnologia.

È necessaria una strategia articolata, che punti sia a ridurre la probabilità dell'intrusione sia a limitare le conseguenze quando l'attacco riesce comunque a superare le difese.

Un primo elemento fondamentale è la segmentazione delle reti, misura trattata in OAD Insight #9. Se sistemi, server e diverse aree dell'infrastruttura sono opportunamente separati, diventa più difficile per un attaccante che ha compromesso un dispositivo spostarsi liberamente verso altre risorse dell'organizzazione.

Altrettanto importante è applicare il principio del minimo privilegio, misura trattata in OAD Insight #13: limitando gli account e i permessi amministrativi alle sole persone e ai sistemi che ne hanno effettivamente necessità. La disponibilità di credenziali privilegiate può infatti consentire a un attaccante di ampliare rapidamente la compromissione.

Occorre inoltre disporre di backup protetti, separati dalla rete operativa e periodicamente verificati. Anche questa misura è stata trattata in OAD Inisght #3. Non è sufficiente possedere una copia dei dati: è necessario essere certi che il backup non possa essere compromesso insieme ai sistemi di produzione e che le procedure di ripristino funzionino realmente.

Un ruolo essenziale è svolto anche dal monitoraggio continuo degli eventi di sicurezza, si veda OAD Insight #11 e #15,  che può consentire di individuare comportamenti anomali durante le fasi iniziali dell'attacco, prima che gli aggressori riescano a raggiungere i sistemi più critici.

Ma il caso del Policlinico Triestino evidenzia soprattutto un altro principio: occorre prepararsi a lavorare anche quando i sistemi informativi non sono disponibili.

Incident Response, Disaster Recovery e Business Continuity devono quindi essere coordinati. In una struttura sanitaria devono essere preventivamente individuati i servizi che non possono essere interrotti, le modalità operative alternative e le procedure da utilizzare temporaneamente in assenza dei sistemi digitali.

La cyber resilience non consiste infatti soltanto nell'impedire che un attacco avvenga. Significa anche essere in grado di contenerne la propagazione, mantenere attivi i servizi essenziali e ripristinare rapidamente l'operatività.

L'attacco al Policlinico Triestino rappresenta un esempio particolarmente chiaro: un ransomware può partire da una compromissione informatica, ma le sue conseguenze possono rapidamente uscire dal perimetro dell'IT e incidere direttamente sulle attività dell'organizzazione e, in questo caso, sui servizi forniti ai pazienti.