Un cyber attacco ai danni del sistema ospedaliero della Bulgaria ha costretto il responsabile della sicurezza informatica Dan Cimpean a prendere una decisione difficile, ma anche l’unica opzione possibile: trasmettere a più di 100 ospedali l’ordine di disconnettersi immediatamente da Internet.

Ecco quale lezione trarre da questo recente caso di cronaca che ricorda due episodi che ho vissuto diversi anni fa nel ruolo di IT manager, quando un collega di un importante ente pubblico mi raccontò che, per stare più tranquillo, era solito fare dei “backup su carta” dei dati più rilevanti per la sua Amministrazione.

Il caso del cyber attacco alla sanità in Bulgaria

Nel “mio” Ente di allora, avvenne un attacco virale che ci costrinse non solo a disattivare il collegamento a internet, ma anche a spegnere tutti gli switch di rete per limitare il contagio interno.

Dopo 24 ore di paralisi, pressoché totale dell’attività, riuscimmo a venire a capo del problema senza grosse perdite.

Entrambe le situazioni, backup cartaceo e shutdown della rete sono elementi presenti nella storia che proviene dal sistema sanitario della Bulgaria. Risale al 2024, ma potrebbe – come si usa dire accadere anche oggi, e non solo a Bucarest.

I dettagli

L’attacco in questione si manifestò in una modalità abbastanza consueta:. Un chirurgo di un grande ospedale romeno si accorse nella notte fra una domenica e un lunedì di qualcosa di strano ed in particolare di un rallentamento e blocco del software “Hippocrates”, un sistema utilizzato in molti nosocomi del Paese e che potremmo definire come “cartella clinica elettronica” o EMR (Electronic Medical Record).

In realtà Hippocrates forniva (e fornisce tuttora) anche molte altre funzioni fondamentali per la gestione dei pazienti, dalla gestione del Pronto Soccorso ai laboratori ed alle radiologie.

Si trattava di un attacco forse fra i più temibili, un ransomware che crittografa cioè tutti i file che riesce a raggiungere dalla postazione infettata rendendoli inservibili e chiedendo una sorta di “riscatto” monetario per consentirne la decodifica.

Il malware era stato veicolato proprio attraverso quel software che era condiviso fra le aziende ospedaliere ed utilizzato in cloud.

Nella giornata di lunedì, prima che fosse del tutto chiaro l’accaduto, le strutture bloccate dal ransomware erano già ventisei in tutta la Romania.

Le soluzioni alternative dopo il cyber attacco alla sanità in Bulgaria

Furono prese a livello nazionale delle decisioni drastiche:

• scollegamento da internet di tutte le realtà sanitarie del Paese, coinvolte o meno nell’infezione dal malware, che si rivelò essere BackMyData, che si diffonde attraverso le ormai consuete email di phishing ma anche attraverso collegamenti remoti di tipo RDP (Remote Desktop Protocol) non opportunamente configurati o aggiornati;
• divieto di accondiscendere alle richieste di pagamento di riscatto da parte dei criminali per poter riattivare gli ospedali coinvolti;
• avvio delle procedure di recupero di file crittografati a partire dalle copie di backup disponibili.

Attacco ransomware

Cme ogni ransomware che si rispetti, all’attacco seguì anche la richiesta del riscatto: 160.000 euro da versare in Bitcoin.

Il problema del pagamento naturalmente non si pose, in quanto il governo romeno vietò ogni tipo di transazione con i cyber attaccanti.

Questo è l’atteggiamento diffuso in Europa, anche se in Italia ancora non c’è una legge che esplicitamente vieti questo tipo di comportamento (un disegno di legge è all’esame della competente Commissione del Senato dal 2025).

Bit e carta, una battaglia di altri tempi

Nei giorni di ripristino del sistema e del successivo ritorno alla normalità gli ospedali lavorarono in cartaceo: tutte le procedure informatiche furono sostituite con flussi cartacei, come di norma avveniva fino a trenta anni fa.

Ogni struttura ha infatti, in previsione di attacchi, guasti, black-out, delle procedure di emergenza che non possono che basarsi su carta e penna, supporti che non tradiscono mai.

In questa storia colpiscono alcuni elementi. Innanzitutto, la necessità di ricorrere alla procedura cartacea, anche se non in funzione di backup supplementare come suggerito dal mio collega diversi anni fa.

La carta è in realtà l’unico supporto che non si guasta, non ha bisogno di connessione di rete, di computer e neanche di energia elettrica.

L’unico miglioramento operativo che mi sarei sentito di suggerire è quello di ricorrere a modulistica informatica (tipo modelli pdf compilabili) avendone preventivamente realizzato una scorta cartacea.

In questo modo, con la rete locale attiva, anche se separata da Internet, il sistema avrebbe consentito una compilazione più veloce ed un successivo recupero dei dati nel sistema informatico molto più agevole e senza riscritture.

Da notare inoltre Il completo fallimento dei sistemi di business continuity, ammesso che esistessero.

Per questi vale un po’ l’adagio che si ripete per quanto riguarda il salvataggio
dei dati: il backup funziona sempre, è il restore che non sempre va.

E molto spesso questi meccanismi generano una sensazione di falsa sicurezza che può portare anche a comportamenti avventati.

Infine, il quasi obbligato distacco dalla Rete degli ospedali colpiti (e non) ricorda il detto ormai quasi leggendario secondo cui “L’unico server sicuro è quello spento. E non collegato alla rete”.

Sarà un’iperbole, ma contiene un fondo di verità: nessun sistema informativo può dirsi completamente al sicuro, finché presenta qualche porticina aperta sull’esterno.

Infatti, le porticine, talvolta, diventano voragini.