Attacchi informatici, ospedali nel mirino

Gli attacchi informatici non hanno ancora ucciso nessuno. Almeno da un punto di vista legale. La procura di Colonia ha infatti stabilito che gli autori di un recente attacco ransomware all'ospedale di Dusseldorf non possono essere ritenuti legalmente responsabili della morte di una donna che, proprio a causa del blocco del sistema informatico, non era stata ammessa alla clinica ed era stata trasferita d'urgenza verso una vicina struttura ospedaliera. Il trasferimento aveva richiesto più di un'ora di tempo, cosa che, stando alle prime ricostruzioni, si sarebbe rivelato fatale per la paziente: per questo l'autorità giudiziaria aveva inizialmente avanzato un'accusa di omicidio colposo contro gli autori dell'attacco informatico.
Adesso quell'accusa è caduta. Come ha affermato il procuratore capo di Colonia Markus Hartmann a Wired, le indagini non sono infatti riuscite a stabilire un nesso causale fra l'attacco informatico e la morte della donna. “Il ritardo non ha avuto alcuna influenza sul decesso”, ha affermato. “La condizione clinica della paziente – ha proseguito – è stata l'unica causa della morte e quest'ultima è stata del tutto indipendente dall'attacco informatico”. Hartmann ha paragonato la situazione all'investire un cadavere con un'auto: per quanto tu possa aver violato i limiti di velocità, non puoi essere considerato responsabile della sua morte.
Il cyber crime non ha quindi ancora mietuto ufficialmente la sua prima vittima. “Ufficialmente” perché, a detta di molti, il fenomeno degli attacchi informatici può aver già contribuito alla morte di una persona: l'università Vanderbilt, tanto per citare un caso, aveva stimato nel 2019 che il virus WannaCry aveva indirettamente aumentato la mortalità ospedaliera, allungando per esempio i tempi per sottoporre a elettrocardiogramma i pazienti con sospetto infarto. E “ancora” perché, come ha sottolineato lo stesso Hartmann, è soltanto questione di tempo prima che un attacco informatico venga collegato direttamente al decesso di una persona. “Se il paziente soffre di una patologia meno grave, l'attacco potrà essere certamente considerato un fattore decisivo della morte”, ha osservato.
Il rischio è dunque elevato. Lo scorso anno, secondo un rapporto della società di sicurezza informatica Emsisoft, si sono verificati oltre 750 attacchi ransomware contro le strutture sanitarie degli Stati Uniti. E il trend appare in decisa crescita. La società di software Check Point ha stimato che fra settembre e ottobre gli attacchi contro gli ospedali negli Stati Uniti sono aumentati del 71%. Neppure il coronavirus sembra quindi aver rallentato l'attività dei criminali informatici. “Proprio mentre la pandemia raggiungeva la drammatica cifra di un milione di vittime a livello globale, nell'ultimo fine-settimana di settembre abbiamo assistito a un altro attacco effettuato con Ryuk, uno dei principali software di ransomware a disposizione”, si legge nella ricerca.
La gravità del fenomeno è ormai sempre più palese. Un medico di un ospedale statunitense, rimasto anonimo, ha detto alla Reuters che durante un attacco il personale era stato costretto a comunicare con biglietti di carta, perché tutti gli strumenti informatici erano stati messi fuori uso. “Potevamo ancora monitorare i parametri vitali e ricevere diagnostica per immagini, però potevamo comunicare i risultati solo con carta e penna”, ha ricordato. In questo contesto, anche le istituzioni pubbliche sono state costrette a correre ai ripari. Ad aprile l'Interpol ha emesso un avviso sull'argomento. Più recentemente, verso la fine di ottobre, dopo che una serie di attacchi ransomware avevano colpito una ventina di strutture ospedaliere negli Stati Uniti, le autorità federali a stelle e strisce hanno riconosciuto la presenza di “un'accresciuta e imminente minaccia informatica per gli ospedali e i fornitori di servizi sanitari negli Stati Uniti”. Le agenzie di intelligence hanno collegato la minaccia all'attività di criminali informatici in Europa orientale e Russia. “C'è un confine morale che ogni persona, come essere umano, deve rispettare: quando fai qualcosa sapendo che potrebbe potenzialmente influire sulla salute di qualcuno, stai attraversando quella linea”, ha commentato Charles Carmakal, senior vice president e chief technical officer della società di sicurezza informatica Mandiant, controllata da FireEye. “Per me – ha aggiunto – siamo di fronte alla più grande minaccia informatica che abbiamo mai vissuto negli Stati Uniti”.