Attacco informatico all’Ospedale di Verona. L’azienda sanitaria emette una nota stampa

Come abbiamo riportato recentemente, La cybergang Ryshida a pubblicato i dati trafugati dalle infrastrutture IT dell’Azienda Opedaliera Universitaria Integrata di Verona. Nel suo canale underground all’interno della rete Onion, i criminali informatici hanno pubblicato 612GB complessivi pari a 900.128 file esfiltrati dalle infrastrutture IT dell’ospedale.

All’interno erano presenti analisi cliniche dei pazienti, oltre che informazioni sul funzionamento dell’ospedale. Abbiamo rilevato AUDIT interni, contratti, bilanci, timbrature, analisi degli indicatori di performance, e rendicontazione varie e moltissime email scambiate all’interno e all’esterno dell’organizzazione.

Nel tardo pomeriggio di ieri, arriva alla casella di posta di Chiara Nardini, con in conoscenza la redazione di Red Hot Cyber una mail. Il mittente è il responsabile della comunicazione esterna dell’ospedale di Verona che ci invia una nota stampa.

L’azienda Aoui ha confermato che i dati esfiltrati durante l’attacco informatico di ottobre sono stati pubblicati sul dark web come annunciato. Tuttavia, l’Azienda sostiene di non aver subito perdite di dati personali custoditi nei propri archivi aziendali. La pubblicazione coinvolge solo una minima parte dei dati, pari a 0,6 terabyte su un totale di 29 terabyte.

La maggior parte di questi dati non sarebbe di natura sanitaria e alcuni potrebbero già essere stati pubblicati per legge sul sito web dell’Azienda. L’azienda riporta che il gruppo di lavoro interno sta analizzando i file pubblicati. Questa attività viene svolta in collaborazione con il responsabile della Protezione dei dati personali.

Inoltre l’azienda riporta che le autorità competenti, inclusa la magistratura e l’azienda ospedaliera, sono coinvolte nelle indagini, e sono state intraprese azioni legali per tutelare le vittime dell’attacco.

La comunicazione pervenuta a Red Hot Cyber riporta al suo interno una frase che difficilmente si legge nelle mail che pervengono alla nostra redazione. Questo soprattutto a seguito di un databreach: “Il vostro lavoro qualificato è apprezzato da più parti.“

Il panorama italiano nei confronti dei ricercatori di sicurezza sta cambiando. Questo lo stiamo vivendo in diversi episodi come ad esempio l’attacco informatico ad Innovery oppure l’attacco informatico ad Italtel accaduti recentemente.

Da sempre riportiamo su queste pagine (anche attraverso il nostro manifesto) che solo attraverso la condivisione e la collaborazione riusciremo a costruire una Italia resiliente agli attacchi informatici. Il fatto che le aziende siano più propense a parlare degli incidenti informatici è un chiaro segno che qualcosa sta cambiando.

Ringraziamo quindi la Responsabile Comunicazione Esterna e stampa dell’AOUI Verona e ci complimentiamo con l’organizzazione che piuttosto che inviare una diffida (come spesso molti fanno inutilmente), comprendono che i ricercatori di sicurezza possono essere una grande risorsa per la protezione delle loro stesse infrastrutture. Questo sia in fase di discovery (attraverso attività di cyber threat intelligence) che attraverso attività di divulgazione etica dei fatti accaduti.

Di seguito riportiamo l’intera nota stampa riportata dall’organizzazione.

Attacco hacker, pubblicazione sul dark web

La nota aziendale

Verona, 17 novembre 2023

Questa mattina, alle ore 07.00, come annunciato la settimana scorsa, sul dark web sono stati pubblicati i dati che i criminali informatici hanno esfiltrato nel corso dell’attacco di ottobre e per il quale Aoui non ha pagato alcun riscatto.

Secondo quanto già comunicato il 23 ottobre (giorno successivo all’attacco notificato all’Autorità Garante Privacy nei termini di legge) e il 10 novembre, si conferma che l’Azienda non ha registrato alcuna perdita di dati personali, custoditi negli archivi aziendali, ma è stata pubblicata la copia di alcuni.

Dalle verifiche sinora effettuate è emerso che i dati pubblicati rappresentano una minima parte di quelli complessivamente archiviati nei files server aziendali: 0,6 terabyte (pari a 612 GB) su 29 terabyte totali. La maggior parte di questi dati copiati risulterebbe essere non sanitaria, o addirittura già soggetta a pubblicazione per legge sul nostro sito web. I restanti dati, dei 612 GB copiati, rappresenterebbero documenti frammentari con informazioni cliniche, molte delle quali peraltro datate.

Il gruppo di lavoro interno è già operativo e in costante coordinamento con il responsabile della Protezione dei dati personali al fine di analizzare i file pubblicati e fornire agli interessati le comunicazioni previste dalla normativa vigente (articolo 34 del Regolamento UE 2016/679), che saranno rese disponibili alla luce degli ulteriori accertamenti ancora in corso al fine di limitare gli eventuali disagi conseguenti l’accaduto.

Si ricorda che Magistratura e Azienda ospedaliera, in costante contatto con la Regione, sono impegnate nelle indagini, ciascuna per le proprie competenze. Inoltre, con l’assistenza dello studio legale del professor Riccardo Borsari, sono state intraprese tutte le azioni legali atte a tutelare le vittime dell’attacco: l’Azienda ospedaliera universitaria integrata di Verona e tutti i soggetti coinvolti.

Chiara Nardini

Esperta di Cyber Threat intelligence e di cybersecurity awareness, blogger per passione e ricercatrice di sicurezza informatica. Crede che si possa combattere il cybercrime solo conoscendo le minacce informatiche attraverso una costante attività di "lesson learned" e di divulgazione. Analista di punta per quello che concerne gli incidenti di sicurezza informatica del comparto Italia.

Aree di competenza: Cyber threat Intelligence, Incident Response, sicurezza nazionale, divulgazione