A Decade of Healthcare Cyber Threats: Empirical Analysis, Evidence-Based Prioritisation, and AI Threat Model

Immaginate il mondo digitale come una città gigantesca e frenetica dove ogni edificio è un tipo diverso di attività commerciale. Alcuni edifici vendono giocattoli, altri vendono vestiti, ma un quartiere specifico è il settore immobiliare più prezioso della città: il distretto degli ospedali. Perché? Perché all'interno di questi edifici, le persone custodiscono segreti vitali (come le cartelle cliniche) e gestiscono macchinari che letteralmente tengono in vita le persone. Se un ladro scavalca un negozio di giocattoli, potrebbe rubare qualche action figure. Se scavalca un ospedale, può prendere l'intero quartiere in ostaggio, pretendendo un riscatto per riaccendere le luci, o può rubare segreti da vendere al mercato nero. Per questo motivo, i "ladri" (i criminali informatici) cercano di entrare da anni, ma non usano più solo i piede di porco. Hanno imparato a indossare mantelli invisibili.

Per capire come tracciamo questi ladri, gli esperti di sicurezza utilizzano una mappa gigante e vivente chiamata MITRE ATT&CK. Pensate a questa mappa non come a un elenco di serrature, ma come a un catalogo di mosse. Non dice solo "hanno rotto la finestra"; dice "hanno usato un piede di porco", "hanno scassinato la serratura" o "sono entrati dalla porta principale perché il proprietario l'aveva lasciata aperta". Questa mappa aiuta i difensori a sapere quali trucchi stare a guardare. Un altro strumento è la lista CISA Known Exploited Vulnerabilities (KEV). Se la mappa ATT&CK è il catalogo delle mosse, la lista KEV è la bacheca dei "Più ricercati". Elenca solo le serrature rotte e le finestre aperte specifiche che i ladri hanno effettivamente usato per entrare di recente, ignorando tutti i buchi teorici che nessuno ha ancora toccato. La grande domanda che i ricercatori si sono posti è: "Le guardie di sicurezza stanno controllando le porte giuste?"

Questo articolo scava a fondo nelle intrusioni digitali avvenute negli ospedali nell'ultimo decennio per rispondere a questa domanda. I ricercatori hanno agito come detective digitali, raccogliendo una vasta collezione di 1.214 "rapporti di reato" dal 2017 al 2024. Hanno esaminato 44 diversi gruppi di attaccanti, dai gang del crimine organizzato alle spie di stato, e hanno tracciato esattamente quali mosse hanno utilizzato. Ciò che hanno scoperto è un piccolo colpo di scena. Per molto tempo, le guardie di sicurezza sono state addestrate a cercare le mosse "rumorose": quelle in cui un ladro rompe una finestra (Accesso Iniziale) o nasconde un biglietto segreto sotto un tappeto (Persistenza). Ma il documento mostra che i ladri hanno cambiato stile. Ora sono maestri della mossa "silenziosa". Invece di scassinare ed entrare, usano le chiavi del proprietario e camminano dritto dalla porta principale, confondendosi con la folla normale.

Lo studio rivela che la mossa più comune utilizzata da questi attaccanti oggi è la Difesa dall'Evasione (Defense Evasion), che rappresenta circa il 15% - 20% di tutte le loro azioni ogni singolo anno. Questa è l'arte di rimanere invisibili. Al contrario, le mosse "vecchia scuola" come "nascondersi in soffitta" (Persistenza) e "rompere la porta principale" (Accesso Iniziale) sono diminuite significativamente nella distribuzione della frequenza dei dati nel periodo 2017–2024, scendendo dalle percentuali a doppia cifra fino allo zero nell'uso delle tecniche osservate. Questo non significa che queste tattiche siano estinte o non vengano mai usate, ma piuttosto che non sono più le tattiche primarie viste nei dati rispetto all'ascesa di metodi più furtivi. Gli attaccanti si sono resi conto che se usano strumenti legittimi che l'ospedale possiede già — come il centro di comando del computer o i badge di accesso del personale — non lasciano impronte. È come un ladro che non scassina la serratura, ma invece aspetta che il proprietario apra la porta, poi entra e si comporta come se appartenesse a quel luogo.

Ecco la parte spaventosa: le guardie di sicurezza stanno ancora cercando impronte. Il documento ha trovato un "inversione strutturale", il che significa che il consiglio di sicurezza è più forte proprio dove i ladri sono meno attivi, e più debole dove i ladri sono più attivi. Le guardie hanno costruito sensori incredibili per catturare le intrusioni rumorose e disordinate alla fine di un crimine, ma hanno quasi nessun sensore per le mosse silenziose e invisibili che avvengono proprio all'inizio. I ricercatori hanno identificato 42 "mosse" specifiche che stanno accadendo proprio ora ma che vengono monitorate appena. Queste sono le priorità assolute che gli ospedali devono correggere immediatamente.

Ancora più interessante, il documento mostra che non si tratta più solo di vecchi computer. Gli ospedali stanno iniziando a usare l'Intelligenza Artificiale (IA) per aiutare i medici a diagnosticare i pazienti. I ricercatori hanno scoperto che gli stessi trucchi "silenziosi" che i ladri usano sui computer normali funzionano perfettamente anche su questi nuovi sistemi di IA. Un ladro non ha bisogno di imparare un nuovo modo per scassinare un'IA; usa solo gli stessi vecchi trucchi che ha usato per anni. Il documento conclude che dobbiamo smettere di costruire la sicurezza basandoci su ciò che i ladri facevano prima e iniziare a costruirla per ciò che stanno facendo ora: entrare dalla porta principale, indossare una divisa e sperare che nessuno si accorga che non dovrebbero essere lì. La buona notizia è che il documento fornisce una chiara "lista di cose da fare" di 42 mosse da bloccare e, per 12 di quelle 42 tecniche, gli strumenti di sicurezza esistono già e possono essere attivati subito gratuitamente.