Dati sanitari sotto attacco: come prevenire!

di Giovanni Finetto e Paola Finetto

Il Global Risks Report 2022 pubblicato il 19 gennaio 2021 dal World Economic Forum ¹, nel quale sono presentati i risultati dell’ultimo e più recente sondaggio sulla percezione dei rischi globali, evidenzia come le cyber minacce, per quanto non più percepite come alto rischio, siano tuttora presenti e consistenti. In particolare, emerge la percezione di un fallimento della cybersecurity, dovuto per lo più alla maggiore dipendenza digitale, a fronte di una parimenti maggiore disinformazione tecnologica e di un proliferare, spesso non organizzato, di norme e regolamenti nell’ambito IT e data protection. Nel rapporto si legge che, nel 2021 e rispetto al 2020, gli attacchi malware sono cresciuti del 358% e gli attacchi ransomware addirittura del 435%. Il pagamento di riscatti a fronte di questi ultimi è del pari aumentato in maniera impressionante: da 0.51 milioni US$ nel 2013, a 92.94 milioni US$ nel 2019, a 406.34 milioni US$ nel 2020. Si sono moltiplicate e diversificate anche le truffe nei pagamenti online, a fronte di un aumento, soprattutto durante la pandemia, degli acquisti online: nel Regno Unito, ad esempio, nel 2021 queste truffe sono aumentate del 117% in volume e del 43% in valore. Al contempo, il sondaggio e la ricerca, i cui risultati sono ben esposti nel Global Risks Report 2022, rimarcano come gli incidenti di sicurezza e le violazioni dei sistemi e delle reti siano ancora per lo più dovuti a errori umani: il 43% dei data breach è riconducibile a minacce interne, dunque a eventi, per lo più accidentali, riferibili a persone e dovuti, normalmente, a carenza di formazione e informazione.
In questo contesto, soprattutto negli ultimi mesi, sono aumentati in tutto il mondo gli attacchi informatici ai danni delle strutture sanitarie, massivamente colpite da ransomware: i dati sanitari sono merce rara e preziosissima e i criminali informatici sanno ben sfruttare le vulnerabilità dei sistemi. Come si legge nel Global Risks Report 2022, c’è addirittura un mercato in forte espansione per la prestazione di servizi diretti a manipolare l’opinione pubblica e indirizzarne le preferenze di acquisto, così come a danneggiare o indebolire aziende competitor. In particolare, i dati sanitari potrebbero permettere alle multinazionali farmaceutiche di orientare le proprie scelte di mercato, oppure alle compagnie assicuratrici di elaborare e offrire nuovi prodotti targetizzati. Già nel giugno 2013 il Financial Times pubblicava un articolo dal titolo “How much is your personal data worth?” ², che permetteva di calcolare il valore economico dei propri dati personali; con riferimento ai dati sanitari, si evidenziava come i dati di una donna incinta del primo figlio avessero un valore stimato di circa 0.102 US$, mentre i dati di un diabetico potessero valere fino a 0.267 US$. In un comunicato stampa di Kaspersky del 20 dicembre 2021 ³ si legge che “il 50% dei fornitori di servizi sanitari italiani intervistati ha dichiarato che, per le sessioni a distanza, alcuni dei loro medici utilizzano app non specificamente progettate per la telemedicina, come FaceTime, Facebook Messenger, WhatsApp, Zoom, etc. Inoltre, sempre il 50% dei medici non conoscerebbe i metodi con cui vengono protetti i dati dei loro pazienti”, il che espone i dati anche sensibili trattati a rischi da non sottovalutare. Sempre Kaspersky, in altro comunicato stampa del 2 dicembre 2021 ⁴, evidenzia come “i cybercriminali hanno cercato di trarre profitto dal vaccino e gli ospedali sono stati attaccati da ransomware, mettendo in serio pericolo la vita dei pazienti. Il prossimo anno, il vettore di attacco per il settore sanitario continuerà ad espandersi, poiché una quantità sempre maggiore di dati dei pazienti si sta spostando online e gli operatori sanitari continuano ad adottare servizi sanitari digitali come la telemedicina. Nel 2021 le violazioni dei dati sanitari sono già aumentate di una volta e mezza rispetto al 2019”.
Le minacce cyber alle strutture sanitarie, anche italiane, non si sono fatte attendere: è del ¹² settembre 2021 l’attacco informatico all’Ospedale San Giovanni di Roma ⁵; è di inizio dicembre 2021 l’attacco informatico all’ULSS 6 Euganea ⁶, seguito, a partire dal 15 gennaio 2022, dalla pubblicazione dei dati sanitari nel dark web dapprima, in chiaro in alcuni siti esteri, poi ⁷. Il 7 gennaio 2021 un altro attacco cyber ha colpito l’ASL Napoli 3, con compromissione di circa il 90% dei dati presenti nel server dell’azienda sanitaria ⁸. Già nell’aprile 2020, tuttavia, il Nucleo di Sicurezza Cibernetica, organo presieduto dal Prof. Roberto Baldoni, vicedirettore generale con delega cyber del Dipartimento delle Informazioni per la Sicurezza (e attuale direttore generale dell’Agenzia per la Cybersicurezza Nazionale), diffondeva l’allerta massima a fronte dei primi impattanti attacchi hacker agli ospedali italiani ⁹. Del resto, le criticità delle reti e dei sistemi IT delle strutture sanitarie italiane sono un dato – ahimè – difficilmente contestabile: “Secondo gli analisti di Swascan, Cyber Security Company, che hanno condotto uno studio sulle criticità del settore sanitario, il 60% delle aziende del campione sotto esame rischiano il furto di dati sensibili … Dallo studio è emerso che il numero totale misurato in potenziali vulnerabilità riscontrate per il settore è 942, così distribuite: 4 aziende (20% del campione) non sono vulnerabili, 4 aziende (20% del campione) hanno tra 1 e 25 potenziali vulnerabilità, 7 aziende (35% del campione) tra 26 e 50 e 5 aziende (25%del campione) con più di 50 e fino a oltre cento potenziali vulnerabilità” ¹⁰. I dati personali sottratti a ospedali e strutture sanitarie sono di grande interesse per il commercio criminale nel dark web; si tratta, oltre che di dati identificativi (nome, cognome, data e luogo di nascita, indirizzo di posta elettronica, recapito telefonico, numero di tessera sanitaria, codice fiscale), anche di altri dati, tra cui pure dati sensibili: informazioni relative a patologie presenti o pregresse o a trattamenti terapeutici in corso, dati assicurativi, dati relativi all’impiego, attestati, certificazioni o altri documenti. Dati che possono essere comprati nel mercato nero del web per essere poi utilizzati per perpetrare diverse tipologie di frodi: dalle false fatturazioni finalizzate alla richiesta di rimborsi o indennizzi alle compagnie assicuratrici, alla prescrizione di esami diagnostici o di farmaci (in quest’ultimo caso, normalmente introvabili o molto costosi), senza contare il loro indubbio interesse – come si è già sopra scritto – per imprese che vogliano orientare scelte commerciali o di consumo o che siano interessate a ideare nuove strategie di marketing.
Lo strumento utilizzato per penetrare i sistemi delle strutture sanitarie ed esfiltrarne i dati è, ancora una volta, il ransomware.
I ransomware sono virus malevoli che consentono ai criminali informatici di appropriarsi della rete di un’azienda o di un ente, di criptarne i dati e poi di chiedere alla vittima una somma in denaro (normalmente in cryptovaluta) per restituire i file. Secondo il Clusit ¹¹, l’Associazione Italiana per la Sicurezza Informatica, i ransomware sono stati usati nel 42% degli attacchi mondiali gravi, in quasi un terzo di questi c’è stata la richiesta di denaro. Secondo una ricerca di Kaspersky condotta su 15.000 persone in tutto il mondo, il 33% degli italiani che ha subito un attacco ransomware ha dichiarato di aver perso quasi tutti i suoi dati. Indipendentemente dal fatto che abbia pagato o meno, solo l’11% delle vittime è stato in grado di ripristinare tutti i file criptati o bloccati dopo l’attacco. Il 17%, invece, ne ha persi solo alcuni mentre il 22% non è riuscito a recuperarne una quantità significativa ¹². Il ransomware si palesa e si riconosce con facilità, in quanto la schermata del computer risulta occupata da un avviso: l’utente viene informato che i suoi dati sono inutilizzabili e che potranno essere recuperati soltanto dopo il pagamento di un riscatto, che, solitamente, viene richiesto in criptovaluta (Bitcoin). Essenzialmente, esistono due operatività maligne:

• alcune forme di ransomware bloccano il sistema e intimano all’utente di pagare un riscatto per sbloccare il sistema stesso;
• altre invece cifrano i file dell’utente, chiedendo di pagare un riscatto per riportare i file cifrati in chiaro.

Questa nuova forma di estorsione si era inizialmente diffusa in Russia. Ora, gli attacchi ransomware sono perpetrati in tutto il mondo e sono diventati il nuovo strumento della criminalità organizzata per “raccogliere il pizzo”, ovvero effettuare vere e proprie estorsioni su scala globale con il minimo rischio di esposizione umana, nonché per riciclare denaro su scala internazionale. In quest’ultimo caso vengono sfruttate, come copertura, aziende o enti che, paradossalmente, si occupano proprio di cyber security e che, di fatto, offrono servizi di decriptazione dei file ma che, in realtà, mascherano le trattative con gli hacker dirette a favorire il pagamento dei riscatti in criptovaluta, per poi fatturare al cliente, come servizio, anche l’avvenuto pagamento del riscatto.
Le modalità con cui viene sferrato un attacco ransomware sono sostanzialmente le medesime usate per gli altri tipi di attacchi informatici:

• l’invio di e-mail di phishing è ancora diffuso; attraverso questa tecnica, con la quale vengono veicolati oltre il 75% dei ransomware, l’utente, se non adeguatamente informato e formato sui rischi cyber, viene indotto a cliccare su un link o ad aprire un allegato, i quali fanno penetrare il virus nel sistema informatico;
• purtroppo, non sono rari neppure i casi di ransomware veicolati usando un supporto rimovibile, per esempio una chiavetta USB oppure un cavo contenenti il software malevolo; questa tecnica fa leva sul fattore umano, oltre che sulla carenza di informazione e formazione sui rischi cyber; le persone sono naturalmente curiose e non è insolito che raccolgano  chiavette USB o colleghino il computer o lo smartphone ad un cavo di ricarica lasciati incustoditi in spazi comuni (ingresso dell’azienda, mensa, parcheggio, aeroporti, stazioni ferroviarie ecc.); in questo caso, il malware si attiverà appena la chiavetta USB sarà inserita nel computer, oppure appena il cavo di ricarica sarà collegato al computer o al telefono;
• il ransomware può essere veicolato anche attraverso altri software, che vengono scaricati dal web e che sono, per lo più, gratuiti e, come tali, possono nascondere più di qualche insidia;
• vi sono, infine, tecniche di attacco che sfruttano le vulnerabilità di una rete o di un sistema informatico; si pensi all’attacco del marzo 2021 che ha utilizzato vulnerabilità di Microsoft Exchange Server (software che aziende e organizzazioni in tutto il mondo utilizzano per gestire e-mail e calendari) per distribuire ransomware dopo la compromissione dei server.

La kill-chain tramite la quale un attacco ramsonware coglie nel segno la vittima, è normalmente costituita dalle seguenti fasi:

• Accesso alla rete aziendale: avviene tipicamente attraverso una campagna di e-mail di phishing attraverso la quale si installa il software malevolo (malware) sul pc della vittima.
• Infezione: l’esecuzione di questo malware permette all’attaccante di carpire le credenziali e diffondere l’infezione all’interno dell’organizzazione.
• Acquisizione di privilegi elevati: il malware, aggirando facilmente i meccanismi di difesa presenti sul dispositivo colpito, riesce ad impersonare utenti con maggiori privilegi di accesso ai sistemi (e.g. Amministratori di sistema, IT Manager).
• Movimento laterale: gli attaccanti, in modo silente, si muovono liberamente all’interno dell’infrastruttura aziendale. In questo caso è necessario analizzare l’intera infrastruttura telematica, assumendo che proprio l’intera infrastruttura informatica (pc client, server, apparti di rete e dispositivi connessi) sia stata compromessa.
• Cifratura dei dati: a questo punto viene scaricato il ransomware che si occupa della codifica di tutti i file aziendali, del blocco dei sistemi e della richiesta di riscatto. I gruppi hacker che utilizzano il ransomware pubblicano i dati trafugati su Internet finché il riscatto non viene pagato. Oltre al danno di immagine che ne consegue, se i dati pubblicati sono dati personali, si rende necessaria la notifica all’Autorità Garante della Privacy.

I ransomware hanno lo stesso meccanismo di diffusione di qualsiasi altro virus. Gli antivirus stanno introducendo strumenti sempre più sofisticati per cercare di arginare questi attacchi ma i risultati, almeno per ora, tardano a vedersi. Una possibile soluzione potrebbe arrivare da un approccio alternativo al problema, un “vaccino” per i ransomware: studiando i dati raccolti, si è compreso che i ransomware lasciano una sorta di marcatore sui computer che infettano. In altre parole, il ransomware, quando si installa su un computer, lo “marchia” in modo che venga riconosciuto. Il “vaccino” per i ransomware inserisce un marcatore che inganna il malware, facendogli credere che il computer sia già stato infettato: in questo modo il computer viene ignorato dal malware. I marcatori vengono aggiornati periodicamente via Internet per adattarsi agli eventuali cambiamenti introdotti dai cyber-criminali. Oltre a ciò, comunque, per garantire la piena sicurezza dei dati trattati, l’azienda sanitaria o la struttura ospedaliera dovrà applicare tutte le consuete misure di sicurezza tecnico-organizzative conformi all’art. 32 GDPR:

• Monitoraggio e aggiornamento continuo della protezione dei sistemi dalle vulnerabilità, comprendendo qui la conoscenza completa e aggiornata dei sistemi hardware e software in essere e il relativo controllo costante.
• Procedure di backup e, soprattutto, di restore che siano testate e affidabili, il che include la piena conoscenza dei processi e dei dati gestiti (molto difficile da ottenere e mantenere al crescere delle dimensioni dell’organizzazione); in particolare, è vitale il backup dei dati, cioè copie funzionanti e recenti (non è così scontato, purtroppo) dei propri file. Il backup dei dati dev’essere un’attività pianificata secondo la security by design e non può essere affidata alla “buona volontà” di un operatore. Dovrà prevedere sempre la “ridondanza”: non una sola copia di backup, ma almeno tre copie secondo la basilare regola 3-2-1. In pratica: tre copie di ogni dato che si vuole conservare, di cui due copie “on-site” ma su storage differenti (HD, NAS, Cloud ecc.)  e una copia “off-site” (in sito remoto, ad esempio su Cloud, nastri ecc.). In questo modo, se il ransomware dovesse infettare il sistema, una copia dei dati rimarrebbe protetta, dando all’organizzazione l’opportunità di ripristinarli. Altrettanto importante è la protezione del backup, che deve essere isolato e non accessibile da un qualsiasi utente collegato in rete.
• Formazione e informazione agli utenti, affinché non cadano nelle trappole del phishing, il vettore più usato per questo tipo di minaccia; in realtà, la consapevolezza costantemente aggiornata degli utenti potrebbe essere lo strumento migliore per affrontare minacce di questo tipo: negli ambiti tecnologici, il fattore umano è spesso sottovalutato, nel bene e nel male.

Ciò significa che anche le strutture ospedaliere e sanitarie devono dotarsi di una Privacy Policy realmente efficace, nel contesto della quale il Titolare del trattamento definisca:

• i dati personali trattati (precisamente, da suoi dipendenti, collaboratori, consulenti) e le relative modalità di trattamento;
• le responsabilità e le modalità con cui gestire la protezione dei dati personali secondo i principi della data protection by design and by default (art. 25 Regolamento UE 2016/679 – GDPR), della responsabilizzazione (art. 5 co. 2 Regolamento UE 2016/679 – GDPR), oltre che sulla base dei principi di liceità correttezza e trasparenza (art. 5 co. 1.a Regolamento UE 2016/679 – GDPR), limitazione della finalità (art. 5 co. 1.b Regolamento UE 2016/679 – GDPR), minimizzazione dei dati (art. 5 co. 1.c Regolamento UE 2016/679 – GDPR), esattezza (art. 5 co. 1.d Regolamento UE 2016/679 – GDPR), limitazione della conservazione (art. 5 co. 1.e Regolamento UE 2016/679 – GDPR), integrità e riservatezza (art. 5 co. 1.f Regolamento UE 2016/679 – GDPR);
• le procedure tecnico-organizzative e relative modalità di gestione, al fine di garantire un livello di sicurezza per i dati personali trattati in formato elettronico e cartaceo o con altri mezzi di trattamento, che sia adeguato ai rischi in conformità all’art. 32 del Regolamento UE 2016/679 – GDPR;
• le attività dirette a consentire e rendere effettivo l’esercizio dei diritti attribuiti agli interessati dal Regolamento UE 2016/679 – GDPR e, occorrendo, dal D.Lgs. 196/2003 e, dunque, a titolo meramente esemplificativo, il diritto di informazione e accesso ai propri dati personali, il diritto alla rettifica ed alla cancellazione (“diritto all’oblio”), il diritto alla limitazione del trattamento, il diritto alla portabilità dei dati e, ove previsto, il diritto all’opposizione al trattamento;
• ogni iniziativa assunta per fornire informazione ed erogare formazione sulle disposizioni normative in materia di protezione dei dati personali e sui contenuti, concreti ed operativi, della Privacy Policy adottata.

Il Titolare del trattamento deve, dunque, prefiggersi di operare nel pieno rispetto dei diritti, delle libertà fondamentali e della dignità delle persone interessate, con specifico riferimento alla riservatezza, all’identità personale e al diritto alla protezione dei dati, comunque assicurando l’applicazione dei principi sopra enunciati sulla base di un’attenta valutazione sostanziale – e non formalistica – delle garanzie previste, nonché di un’analisi della quantità e qualità delle informazioni utilizzate e dei possibili rischi connessi al relativo trattamento, al fine di prevenire ed evitare qualsivoglia violazione dei dati personali, tanto più se si tratta di dati sensibili (quali, certamente, sono i dati sanitari). In questo contesto, il Titolare del trattamento deve provvedere a definire una gerarchia di responsabilità e competenze in relazione alla protezione dei dati personali, individuando tra i propri dipendenti o collaboratori o consulenti soggetti che siano capaci ed affidabili, a cui delegare, in tutto o in parte, la gestione (applicazione, verifica, implementazione) delle procedure di protezione dei dati. 
Si ricorda che, allorquando si parla di dati personali con riferimento alle strutture sanitarie, ci si riferisce pur sempre a dati forniti da utenti e pazienti, fornitori di beni e di servizi, nonché da dipendenti e collaboratori, ai fini della erogazione dei servizi richiesti e dell’adempimento degli obblighi di legge. Si tratta di dati identificativi ma pure di dati sensibili (tra i quali, appunto, i dati personali idonei a rivelare lo stato di salute e la vita sessuale e quelli attinenti alla salute fisica o mentale di una persona fisica), che il Titolare del trattamento tratta in occasione o nell’ambito delle attività svolte. Sono dati trattati utilizzando supporti non elettronici (= cartacei), nel qual caso i dati devono essere conservati in archivi chiusi a chiave o in apposite stanze dotate di serratura oltre che in apposite casseforti, così come supporti elettronici, precisamente personal computer o server con accesso tramite dispositivo elettronico di sicurezza e dotati di programmi antintrusione e antivirus, oltre che configurati cosicché l’accesso contemporaneo con una stessa User-ID non sia consentito e i supporti non utilizzati vengano cancellati. Va da sé che, per regolare questi specifici e concreti trattamenti dei dati, il Titolare del trattamento dovrà predisporre – e periodicamente aggiornare – un regolamento interno per la Data Protection e l’utilizzo dei sistemi di Information Communication Technology. La bontà delle misure adottate dovrà peraltro essere periodicamente verificata a cura del Titolare del trattamento, il quale, a tal fine, dovrà auspicabilmente avvalersi di consulenti e tecnici esterni, esenti da conflitti d’interesse.
Obiettivo primario delle misure tecnico-organizzative adottate dal Titolare del trattamento e sopra sintetizzate è assicurare che anche gli eventuali soggetti nominati quali Incaricati del trattamento o Responsabili del trattamento si impegnino a garantire che i dati personali degli interessati siano:

• trattati in modo lecito, corretto e trasparente;
• raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità;
• adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati (c.d. minimizzazione dei dati);
• esatti e, se necessario, aggiornati, peraltro impegnandosi il Titolare del trattamento ad assicurare che siano adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità per le quali sono trattati;
• conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati;
• trattati in maniera da garantire un’adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali (principi della integrità e riservatezza).

Naturalmente, nel caso in cui, nonostante le misure di sicurezza adottate, si verifichi una violazione di dati personali nell’ambito delle operazioni di trattamento effettuate dal Titolare del trattamento (data breach), il Regolamento UE 2016/679 – GDPR prevede che il Titolare debba notificare la violazione all’autorità di controllo competente entro 72 ore da quando ne è venuto a conoscenza e, quando la violazione dei dati personali sia suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, anche all’interessato senza ingiustificato ritardo. Tra i possibili incidenti, che possono causare violazioni dei dati personali, si ricordano a titolo esemplificativo:

• perdita o furto di strumenti IT (pc, smartphone, chiavette USB, hardware);
• rivelazione di informazioni a soggetti non autorizzati;
• accesso non autorizzato ai dati personali;
• violazione delle misure di sicurezza fisiche dei locali dove i dati personali sono archiviati;
• caricamento/divulgazione per errore di dati personali in rete;
• errore umano (per esempio: perdita di dati personali archiviati presso luoghi non sicuri);
• mancata previsione di eventi di rischio per la sicurezza dei dati quali allagamenti o incendi;
• attacco esterno ai sistemi IT aziendali;
• reati informatici.

Ebbene, per il caso in cui si verifichi una tale violazione, il Titolare del trattamento dovrà approntare una specifica procedura, al fine di assicurare una gestione controllata, strutturata ed efficace degli incidenti e prevenire il verificarsi di altre violazioni.
Si consideri che, a seconda della tipologia di vittima dell’attacco informatico (organizzazione pubblica o privata, utente privato), il danno derivante dalla indisponibilità, temporanea o permanente, dei dati compromessi può avere conseguenze e costi più o meno rilevanti, a seconda della importanza “strategica” dei dati stessi. Un’azienda pubblica o un’azienda sanitaria, che erogano servizi ai cittadini, si troveranno praticamente bloccate nella operatività quotidiana e, se poi gestiscono servizi urbani, l’intero territorio di riferimento si troverà a scontare le conseguenze dell’attacco informatico. Se ad essere colpita fosse una infrastruttura critica, che fornisce beni e/o servizi essenziali per il Paese (si pensi ai settori dell’energia, dei trasporti, della sanità), in cui i sistemi e le reti sono preposti alla gestione e al controllo di apparecchiature fisiche (macchinari sanitari, pompe e sistemi di chiuse di dighe ed acquedotti, semafori e torri di controllo, ecc.), le conseguenze di un attacco informatico potrebbero essere drammatiche, se non tragiche. Non è un caso che siano proprio le aziende sanitarie ad essere state bersagliate, negli ultimi mesi, dagli attacchi ransomware: lo scopo dei criminali è danneggiare quanto più possibile, per indurre le vittime a pagare il riscatto. In questo contesto, la migliore protezione è la prevenzione, come sopra proposta.

1. https://www.weforum.org/reports/the-global-risks-report-2021 ↩︎
2. https://ig.ft.com/how-much-is-your-personal-data-worth/ ↩︎
3. https://www.kaspersky.it/about/press-releases/2021_indagine-kaspersky-il-50-degli-operatori-sanitari-italiani-non-usa-app-progettate-per-la-telemedicina-con-conseguenze-per-la-sicurezza-dei-dati-dei-pazienti ↩︎
4. https://www.kaspersky.it/about/press-releases/2021_kaspersky-previsioni-minacce-informatiche-2022-machine-unlearning-attacchi-ics-difficili-da-rilevare-e-vulnerabilita-nel-settore-sanitario ↩︎
5. https://roma.corriere.it/notizie/cronaca/21_settembre_13/roma-attacco-hacker-all-ospedale-san-giovanni-gravi-danni-attivita-6641a5fc-14a9-11ec-ba57-c9ba96e5a256.shtml ↩︎
6. https://www.padovaoggi.it/cronaca/attacco-hacker-ulss-6-euganea-padova-11-dicembre-2021.html ↩︎
7. https://www.ilgazzettino.it/nordest/padova/attacco_hacker_ulss_euganea_pubblicati_file_rubati_ultime_notizie_oggi_16_gennaio_2022-6442853.html ↩︎
8. https://www.ansa.it/campania/notizie/2022/01/21/hackers-chiedono-due-riscatti-ad-asl-na-3-sud_cdf5bfae-06bc-4712-aa4b-62787d307467.html ↩︎
9. https://www.corrierecomunicazioni.it/cyber-security/lallarme-dellintelligence-attacchi-hacker-alla-sanita-coinvolto-lo-spallanzani/ ↩︎
10. https://www.ansa.it/canale_saluteebenessere/notizie/sanita/2021/09/22/cybersecurity60-aziende-sanita-italiane-rischia-furto-dati_9061c5f9-e1db-4d73-be05-289632497cbd.html ↩︎
11. Rapporto Clusit 2021 sulla sicurezza ICT in Italia https://clusit.it/rapporto-clusit/ ↩︎
12. 1° aprile 2021 ANSA -https://www.ansa.it/sito/notizie/tecnologia/software_app/2021/03/31/world-backup-day4-italiani-su-10-pagano-riscatti-ransomware_98332894-dbb5-4553-8a7f-ef5fd03f5a98.html#:~:text=Il%2031%20marzo%20giornata%20sensibilizzazione%20sulla%20sicurezza%20dei%20dati&text=Quattro%20italiani%20su%20dieci%20hanno,grado%20di%20recuperare%20i%20documenti. ↩︎