I dati sanitari sono tra le prede preferite dei cybercriminali

Il settore sanitario è sempre più bersaglio di attacchi informatici, con conseguenze gravi o gravissime su strutture, servizi e sicurezza dei pazienti.
A lanciare l’allarme è il gruppo Women for Security (Wfs), in occasione della presentazione del Report Clusit 2025, evidenziando come l’Intelligenza Artificiale (IA) stia diventando uno strumento anche per i cybercriminali.
Secondo il forum, l’IA – sebbene utile nella sanità – comporta rischi significativi, soprattutto in termini di vulnerabilità dei sistemi e tutela della riservatezza dei dati sensibili.
Le principali minacce per il settore includono: violazione e furto di dati personali e sanitari, attacchi ransomware, accessi non autorizzati, compromissione di dispositivi medici connessi, alterazione dell’integrità dei dati clinici e difficoltà nel garantire la conformità normativa (come il GDPR).

Nel 2024 il settore sanitario è stato il quarto più colpito a livello globale, con 624 attacchi (+105% rispetto al 2023), in gran parte a scopo di lucro. Il 90% degli attacchi ha avuto effetti gravi o critici. Le tecniche più usate includono malware (57%, in particolare ransomware), data breach e lo sfruttamento di vulnerabilità, anche non ancora note (0-day). In calo invece phishing e furti d’identità.
Gli Stati Uniti restano il Paese più colpito (80% degli attacchi), o almeno con più segnalazioni.
Sono seguiti da Europa (12%), Asia, Oceania e Africa.
In Italia, nel 2024, si è registrato quasi un raddoppio degli attacchi al comparto sanitario, con il 93% motivato da cybercriminalità e il restante 7% da hacktivism. I malware rappresentano il 73% delle tecniche usate, mentre phishing, social engineering e attacchi web si attestano al 7% ciascuno. La gravità è un fattore costante: il 60% degli attacchi ha avuto un impatto critico, con il 93% complessivo classificato come grave o gravissimo.
Tra i casi più recenti figurano gli attacchi a tre aziende sanitarie modenesi e all’Azienda ospedaliera di Verona, con esfiltrazione di oltre 1,5 terabyte di dati sanitari.

Per contrastare questi rischi, l’UE ha aggiornato la Direttiva NIS con la NIS2 e approvato l’AI Act, che disciplina l’uso dell’IA in sanità, imponendo trasparenza, sicurezza e rispetto dei diritti fondamentali, in armonia con il GDPR e il Medical Device Regulation (MDR). La battaglia con i cybercriminali è iniziata.

Rapporto Clusit 2025