I dati sanitari rubati sono diventati una delle risorse più preziose dell’economia cybercriminale, perché restano validi nel tempo, sono difficili da sostituire e possono alimentare frodi, estorsioni e accessi illeciti su larga scala. È quanto emerge dalla ricerca “The Cybercriminal Underground: Mapping the Healthcare Data Economy” di TrendAI, che descrive un mercato sommerso sempre più strutturato attorno alle informazioni dei pazienti e alle infrastrutture digitali della sanità.
Dati sanitari rubati: perché valgono più di molte altre informazioni personali
Nel mercato criminale digitale, non tutti i dati hanno lo stesso valore. Le credenziali possono essere cambiate, le carte di credito possono essere bloccate e riemesse, alcuni account possono essere recuperati. I dati sanitari, invece, hanno una caratteristica più critica: non scadono davvero.
Diagnosi, anamnesi, terapie, referti, dati biometrici, informazioni assicurative e documentazione clinica restano associati alla persona per anni, spesso per tutta la vita. Una volta sottratti, non possono essere semplicemente sostituiti. Questo li rende particolarmente interessanti per gruppi ransomware, broker di accessi, venditori di credenziali e operatori specializzati in frodi documentali.
La sanità, di conseguenza, non è più soltanto un settore vulnerabile perché complesso e frammentato. È diventata un bersaglio economicamente razionale per organizzazioni criminali che vedono nei dati dei pazienti un asset riutilizzabile, rivendibile e monetizzabile in più fasi.
La sanità come economia sommersa industrializzata
Secondo la ricerca TrendAI, nell’ultimo anno sono stati analizzati 7.779 post pubblicati in forum underground, 21.813 annunci presenti su marketplace illeciti e 95 siti ransomware dedicati ad attività di esfiltrazione collegate al settore sanitario. Il quadro che emerge non è quello di attacchi isolati, ma di un ecosistema criminale maturo.
In questo ecosistema, i ruoli sono sempre più specializzati. Alcuni gruppi si occupano dell’accesso iniziale alle reti, altri della sottrazione dei dati, altri ancora della cifratura dei sistemi, della pubblicazione delle informazioni rubate o della rivendita degli asset sottratti. La filiera criminale funziona quindi come una supply chain: ogni attore contribuisce a una parte del processo e il valore viene estratto più volte dagli stessi dati.
Il dato più rilevante è che una quota significativa delle attività underground analizzate, pari al 36,3%, riguarda la vendita di dati associati a ransomware. Questo conferma l’evoluzione del ransomware da semplice blocco dei sistemi a modello di estorsione multipla, in cui cifratura, furto dei dati e minaccia di pubblicazione agiscono insieme.
Ransomware ed estorsione: il doppio ricatto contro ospedali e fornitori
Per le organizzazioni sanitarie, il ransomware è particolarmente pericoloso perché colpisce ambienti dove la continuità operativa non è solo una questione economica. Bloccare sistemi clinici, cartelle elettroniche, piattaforme diagnostiche o strumenti di prenotazione può avere effetti diretti sui servizi ai pazienti.
La pressione estorsiva diventa quindi più forte. I criminali non puntano soltanto sulla perdita di dati, ma anche sull’urgenza operativa, sulla reputazione dell’ente e sulla sensibilità delle informazioni sottratte. La possibilità che cartelle cliniche, diagnosi o dati assicurativi finiscano online aumenta il potere negoziale degli attaccanti.
Questo modello spiega perché la sanità continui a essere un bersaglio ad alta priorità. Le organizzazioni possono avere margini ridotti per tollerare interruzioni prolungate, mentre i dati sottratti hanno un valore che non si esaurisce con il singolo attacco.
I fornitori di cartelle cliniche elettroniche diventano un bersaglio strategico
Un elemento centrale della ricerca riguarda il crescente interesse dei cybercriminali verso i produttori di cartelle cliniche elettroniche e, più in generale, verso i fornitori software del settore sanitario. Il motivo è semplice: compromettere un singolo fornitore può aprire la strada a molte organizzazioni clienti.
Questo sposta il rischio dal singolo ospedale alla catena di fornitura. La sicurezza non dipende più soltanto dalle difese interne di una struttura sanitaria, ma anche dalla postura cyber dei vendor tecnologici, delle piattaforme mediche, dei gestionali, dei servizi cloud e degli ambienti interoperabili utilizzati ogni giorno.
La compromissione della supply chain consente ai criminali di superare il perimetro tradizionale dell’attacco. Invece di colpire separatamente cliniche, ospedali o laboratori, un attore malevolo può cercare un punto di ingresso più a monte e sfruttarlo come moltiplicatore.
Accessi, credenziali e documenti falsi: il mercato criminale attorno al paziente
Il valore dei dati sanitari non si limita alla loro vendita diretta. Le informazioni rubate possono essere combinate con credenziali, dati assicurativi, documenti falsi e accessi a reti ospedaliere. In questo modo diventano materia prima per frodi più complesse.
Un set completo di dati medici può essere usato per furti d’identità, richieste assicurative fraudolente, accessi indebiti a servizi sanitari, campagne di phishing estremamente credibili o estorsioni mirate. La profondità informativa dei dati clinici permette inoltre di costruire profili molto dettagliati delle vittime.
È qui che la sanità mostra una fragilità specifica. Non si tratta solo di proteggere dati amministrativi, ma informazioni intime e persistenti, che possono generare danni difficili da contenere anche molto tempo dopo la violazione.
AI security e gestione dell’esposizione diventano priorità operative
La ricerca TrendAI colloca questo scenario in un contesto più ampio di trasformazione della superficie di attacco. Cloud, endpoint, reti, dati, infrastrutture AI e piattaforme applicative sono ormai parte dello stesso ambiente operativo. Per le organizzazioni sanitarie, la difesa non può più limitarsi alla protezione perimetrale.
Serve una capacità di gestione continua dell’esposizione al rischio, con visibilità sugli asset, controllo degli accessi, monitoraggio delle anomalie, protezione dei dati sensibili e risposta coordinata agli incidenti. La sfida è identificare prima i punti deboli che possono essere sfruttati dai broker di accesso o dai gruppi ransomware.
Nel settore sanitario questo approccio è ancora più urgente, perché l’innovazione digitale procede insieme a una crescente dipendenza da piattaforme esterne, interoperabilità dei dati, servizi cloud e applicazioni specialistiche.
La sanità deve trattare il dato clinico come infrastruttura critica
Il messaggio che emerge è netto: i dati sanitari non possono più essere considerati soltanto informazioni da proteggere per ragioni normative. Sono diventati un’infrastruttura critica dal punto di vista operativo, reputazionale e sociale.
La loro compromissione può danneggiare i pazienti, bloccare servizi essenziali, alimentare frodi e rafforzare economie criminali già strutturate. La sicurezza della sanità digitale deve quindi essere affrontata come un problema sistemico, non come una somma di incidenti tecnici.
Per ospedali, cliniche, fornitori software e piattaforme mediche, la priorità è ridurre il valore sfruttabile dei dati rubati, limitare i movimenti laterali, rafforzare il controllo degli accessi e rendere più difficile la monetizzazione da parte degli attori criminali. Il cybercrime ha già industrializzato il proprio modello. La difesa sanitaria non può permettersi di restare artigianale.
