A poche settimane di distanza da una gravissima violazione che avrebbe esposto i dati sensibili di quasi 19 milioni di cittadini, la Polonia deve di nuovo fare i conti con un incidente di cybersicurezza che coinvolge il settore sanitario. Questa volta a essere compromessa è Qbusoft, l’azienda sviluppatrice di Medyc, un software gestionale ampiamente utilizzato dagli operatori sanitari polacchi per la gestione delle cartelle cliniche e dei flussi informativi legati ai pazienti.
L’allarme è scattato ieri (24 settembre), quando il Centro per la riabilitazione e il trattamento psichiatrico di Inowrocław, nella Polonia centrale, ha reso pubblica l’incursione nei propri sistemi informatici. Secondo quanto comunicato dalla struttura, l’attacco avrebbe compromesso la riservatezza delle informazioni personali relative ai pazienti, facendo emergere nuovi interrogativi sulla sicurezza delle infrastrutture digitali utilizzate dal sistema sanitario nazionale.
Come accaduto lo scorso agosto, quando il Paese era stato scosso da una grave falla nei sistemi di MyDr, un software adottato da circa 12.000 operatori sanitari, la tipologia di informazioni potenzialmente esposte desta particolare preoccupazione.
Tra i dati a rischio potrebbero infatti figurare recapiti personali e numeri di identificazione nazionale – l’equivalente polacco del codice fiscale – informazioni che, se finite nelle mani sbagliate, potrebbero essere utilizzate per tentativi di frode o furto d’identità. La possibile esposizione di dati sanitari rende inoltre l’incidente particolarmente delicato sotto il profilo della tutela della privacy.
La risposta delle autorità non si è fatta attendere. Il caso è ora al vaglio degli organismi competenti di Varsavia e, secondo quanto dichiarato da Krzysztof Gawkowski, ministro per gli Affari digitali, l’Ufficio centrale per la lotta alla criminalità informatica sta indagando sul “potenziale incidente di cybersicurezza” nell’ambito di un’attività investigativa più ampia. Le autorità dovranno ora accertare l’esatta dinamica dell’attacco, l’eventuale estensione della compromissione e quali categorie di dati siano effettivamente finite nelle mani degli autori dell’intrusione.
Nel frattempo, il governo polacco ha annunciato l’imminente introduzione di nuove e più stringenti raccomandazioni di sicurezza rivolte alle aziende IT che forniscono software e servizi al settore sanitario, sia pubblico sia privato. L’obiettivo è rafforzare la protezione dell’intera catena tecnologica e intervenire su quello che viene spesso considerato uno dei punti più vulnerabili dell’ecosistema digitale: la supply chain, ossia l’insieme di fornitori esterni e sistemi di terze parti dai quali dipendono le infrastrutture informatiche degli enti sanitari.
“In caso di violazione di qualsiasi procedura di sicurezza da parte di un’azienda privata, saranno applicate conseguenze severe”, ha avvertito Gawkowski. Parole che lasciano intravedere un possibile giro di vite sui fornitori tecnologici e una maggiore pressione da parte del governo affinché le aziende che operano nel settore sanitario adottino standard di sicurezza adeguati alla crescente sofisticazione delle minacce informatiche.
