Ordinanza ingiunzione o revoca n. 760 del 14/11/2024

ASST Fatebenefratelli-Sacco: sanzione per carenze di sicurezza dopo un attacco ransomware con esfiltrazione di dati

Il provvedimento riguarda l’Azienda Socio Sanitaria Territoriale Fatebenefratelli-Sacco, destinataria di una sanzione amministrativa pecuniaria a seguito di una violazione dei dati personali derivante da un attacco informatico del gruppo Vice Society. L’incidente ha comportato il malfunzionamento di numerosi sistemi aziendali, l’esfiltrazione di dati da un file server e la pubblicazione di una rilevante quantità di file sul dark web.

Origine del procedimento e ricostruzione del data breach

L’istruttoria è stata avviata a seguito della notifica di violazione trasmessa dall’Azienda ai sensi dell’art. 33 GDPR e successivamente integrata con ulteriori elementi. L’attacco è stato qualificato come ransomware e ha colpito l’infrastruttura informatica aziendale, impattando sui sistemi di diversi presidi ospedalieri e sulle sedi territoriali.

L’Azienda ha riferito che:

• l’attacco ha interessato i sistemi informatici di base e di virtualizzazione;
• è stata rilevata una attività di esfiltrazione di dati verso una piattaforma di file transfer esterna;
• la pubblicazione dei dati esfiltrati sul data leak site del gruppo criminale è avvenuta in un momento successivo, con circa 28 GB di dati e quasi 40.000 file pubblicati.

Dati coinvolti e ampiezza dell’impatto

Dalle informazioni acquisite è emerso che la violazione ha riguardato un numero molto elevato di sistemi e potenzialmente di interessati. L’Azienda ha indicato che risultavano compromesse circa 500 macchine virtuali, circa 300 postazioni fisiche e circa 800 desktop virtuali.

Quanto ai dati esfiltrati, l’analisi ha consentito di stimare la presenza di:

• dati personali di cittadini e dipendenti, inclusi dati anagrafici e di contatto;
• dati sensibili, anche di natura clinica e sanitaria, come referti, lettere di dimissione, studi clinici e sperimentazioni;
• dati giudiziari, ad esempio provvedimenti o protocolli giudiziari.

L’Azienda ha rappresentato che la ricostruzione puntuale del contenuto dei file era estremamente complessa per la loro natura destrutturata e per le modifiche intervenute nelle alberature e nei nomi dei file lungo le varie piattaforme utilizzate.

Misure di sicurezza dichiarate e misure adottate dopo l'incidente

L’Azienda ha descritto un insieme di misure già presenti al momento del data breach, tra cui:

• sistemi di protezione perimetrale;
• autenticazione centralizzata con policy sulle password;
• antivirus su server e postazioni di lavoro;
• backup periodici;
• sistemi di controllo sull’accesso alle cartelle condivise;
• sistemi antivirus e antimalware sui sistemi di file sharing;
• formazione del personale e circolari interne sulle regole di utilizzo degli strumenti informatici.

Il Garante ha tuttavia rilevato che al momento dell’evento non era ancora attiva l’autenticazione a due fattori, pur essendo in corso di implementazione, e che la rete non risultava adeguatamente segmentata e segregata. Dopo l’attacco, l’Azienda ha adottato ulteriori misure, tra cui:

• spegnimento dei sistemi e isolamento delle infrastrutture di connettività;
• ripristino degli ambienti di virtualizzazione e dei servizi;
• avvio di verifiche sui log;
• progressiva introduzione di MFA, SIEM, SOC, segmentazione di rete e ulteriori misure organizzative e formative.

Valutazioni del Garante e norme violate

L’Autorità ha richiamato i principi di integrità e riservatezza di cui all’art. 5, par. 1, lett. f), GDPR e gli obblighi di sicurezza del trattamento previsti dall’art. 32 GDPR. In particolare, ha sottolineato che, in presenza di dati sanitari e di un contesto ad alta esposizione al rischio cyber, il titolare deve adottare misure tecniche e organizzative idonee non solo a prevenire gli attacchi, ma anche a individuarli tempestivamente.

Nel caso di specie, il Garante ha ritenuto che:

• non fossero state predisposte misure adeguate per rilevare in tempo utile la compromissione e l’esfiltrazione;
• non fossero sufficienti le misure di protezione dei sistemi e delle reti, in particolare per l’assenza, al momento dell’incidente, di MFA e di una adeguata segmentazione di rete;
• il contesto pandemico e l’evoluzione del rischio informatico avessero reso prevedibile un rafforzamento continuo delle misure di sicurezza.

Sanzione, criteri di quantificazione e adempimenti finali

Il Garante ha dichiarato l’illiceità del trattamento e ha applicato la sanzione amministrativa pecuniaria di euro 40.000,00 per la violazione degli artt. 5 e 32 GDPR, richiamando i criteri di cui all’art. 83 GDPR, tra cui gravità della violazione, natura dei dati, cooperazione del titolare, assenza di reclami e impegno a porre rimedio.

È stato inoltre ordinato il pagamento della sanzione entro 30 giorni dalla notificazione del provvedimento, con possibilità di definizione agevolata nei limiti previsti dalla legge. Il Garante ha disposto:

• la pubblicazione dell’ordinanza ingiunzione sul proprio sito;
• la pubblicazione del provvedimento sul sito istituzionale dell’Autorità;
• l’annotazione delle violazioni e delle misure adottate nel registro interno.