Ordinanza ingiunzione o revoca n. 310 del 29/04/2026

ASL di Matera: ransomware con esfiltrazione di dati sanitari e sanzione per misure di sicurezza inadeguate

Il provvedimento riguarda l’Azienda Sanitaria Locale di Matera ed è stato adottato a seguito di una violazione dei dati personali conseguente a un attacco ransomware del gruppo "Rhysida", con cifratura di sistemi, compromissione di credenziali ed esfiltrazione di dati anche sanitari. L’istruttoria ha avuto origine dalla notifica di data breach ex art. 33 GDPR, integrata da richieste istruttorie e da attività ispettiva.

Origine del procedimento e ricostruzione dell’evento

L’Azienda ha rappresentato che l’incidente di sicurezza ha compromesso gravemente i sistemi, cifrando macchine virtuali e backup e rendendo indisponibile il sistema RIS/PACS. In una successiva ricostruzione, ha precisato che i servizi cloud non risultavano violati, che i backup avevano consentito il ripristino dei sistemi e che gli attaccanti avevano avuto accesso all’ambiente di virtualizzazione e a credenziali amministrative.

L’attività istruttoria ha evidenziato che l’attacco ha interessato anche reti e servizi di altre aziende sanitarie regionali, sfruttando la rete RUPAR e vulnerabilità del sistema RIS-PACS. L’Azienda ha inoltre indicato una indisponibilità temporanea dell’interoperabilità fra enti del servizio sanitario regionale per circa 7-10 giorni, con attivazione di procedure di emergenza per alcuni sistemi e predisposizione di un sito web di emergenza per circa 15 giorni.

Dati coinvolti e categorie di interessati

Sulla base delle analisi tecniche svolte, l’Azienda ha ricostruito la struttura del disco del server esfiltrato e ha effettuato ricerche per parole chiave sui contenuti del file sharing. All’esito, è stato quantificato in 95.362 il numero di interessati i cui dati sono stati oggetto di perdita di riservatezza.

Le categorie di dati coinvolte comprendevano:

• dati anagrafici;
• dati di contatto;
• dati relativi a documenti di identificazione o riconoscimento;
• dati relativi all’ubicazione;
• dati relativi a condanne penali, reati e misure di sicurezza;
• dati che rivelano l’origine razziale o etnica;
• dati relativi alla salute.

Il Garante ha quindi valorizzato la particolare delicatezza dei dati trattati e l’elevato numero di interessati coinvolti.

Misure tecniche e organizzative presenti prima del data breach

L’Azienda ha dichiarato di essersi avvalsa, al momento dell’evento, di:

• protezione antivirus;
• firewall perimetrale;
• sistema di rilevazione delle vulnerabilità;
• XDR;
• formazione;
• nomine e autorizzazioni;
• alcune misure avviate anche nell’ambito dell’Accordo Quadro Consip "Cybersecurity 2".

Sul fronte dell’accesso remoto, l’Azienda ha riferito che le credenziali VPN coincidevano con quelle di dominio, che l’accesso era riservato soprattutto a tecnici di fornitori con privilegi amministrativi e che per alcune utenze tecniche la scadenza della password veniva disattivata. Il file server era disciplinato da un regolamento interno sull’uso delle risorse informatiche e delle cartelle condivise, con previsione di utilizzo solo professionale e pulizia periodica degli spazi.

Quanto al patch management, sono stati riferiti aggiornamenti non sempre sistematici, anche a causa di vincoli di compatibilità con il sistema RIS-PACS e della presenza di sistemi operativi fuori supporto. La rete era articolata in alcune VLAN e ACL, ma il Garante ha rilevato una segmentazione insufficiente, poiché server e client ricadevano nello stesso segmento di rete.

Misure adottate dopo la violazione

Dopo l’incidente, l’Azienda ha dichiarato di aver:

• informato tempestivamente ACN, Polizia Postale e Regione;
• isolato la rete per evitare ulteriore sottrazione di dati;
• coinvolto un operatore specializzato in incident response;
• pianificato il ripristino prioritario dei sistemi essenziali;
• cambiato le credenziali di autenticazione, soprattutto quelle amministrative;
• introdotto un’autenticazione a due fattori per l’accesso remoto in VPN;
• effettuato aggiornamenti di sistema;
• avviato comunicazioni agli interessati ai sensi dell’art. 34 GDPR.

Nel tempo, l’Azienda ha anche riferito di aver completato la revisione delle policy di patching, di aver aggiornato le macchine a una nuova versione, di aver parzialmente migrato alcuni sistemi sul Polo Strategico Nazionale, di aver avviato la riprogettazione dei backup delle VM e di stare implementando un servizio di Network Access Control.

Valutazioni difensive dell’Azienda

Nel contraddittorio, l’Azienda ha sostenuto di avere già avviato investimenti significativi in sicurezza informatica con risorse PNRR e di aver operato in un contesto complesso, caratterizzato da vincoli economici, governance regionale, carenza di personale specializzato e necessità di continuità assistenziale. Ha inoltre richiamato la conformità a best practice e linee guida di settore, incluse le misure minime AgID, e ha osservato che l’attacco dimostrerebbe soprattutto la sofisticazione del gruppo criminale.

L’Azienda ha anche evidenziato che, a distanza di tempo, non sarebbero emersi danni concreti segnalati dagli interessati e che i dati esfiltrati non risultavano più disponibili al link originariamente pubblicato nel dark web.

Quadro normativo richiamato dal Garante

L’Autorità ha richiamato, in particolare:

• art. 4, par. 1, n. 15 GDPR e considerando 35, per la nozione di dati relativi alla salute;
• art. 5, par. 1, lett. f) GDPR, sul principio di integrità e riservatezza;
• art. 32 GDPR, sulla sicurezza del trattamento;
• le Linee guida n. 9/2022 del Comitato europeo per la protezione dei dati sulla notifica delle violazioni, per il rilievo della capacità di individuare e segnalare tempestivamente un data breach;
• gli artt. 58, par. 2, lett. i), 83 e 57, par. 1, lett. h) GDPR;
• gli artt. 166 e 168 del Codice privacy;
• il Regolamento del Garante n. 1/2019, con riferimento all’ordinanza ingiunzione e alla pubblicazione del provvedimento.

Valutazione di merito: tempestiva rilevazione e adeguatezza delle misure

Il Garante ha ritenuto che i soggetti malintenzionati avessero compiuto varie operazioni preparatorie e di compromissione, tra cui accessi da IP sospetti, dump di LSASS, tentativi di esecuzione di codice malevolo, movimenti laterali e traffico verso un cyberlocker. Poiché il SIEM dell’Azienda non raccoglieva i log dei firewall ma solo quelli dei server locali, gli accessi risultavano apparentemente legittimi e non venivano generati alert. L’assenza di un SOC e la limitazione dell’attività di sicurezza all’orario d’ufficio hanno contribuito, secondo l’Autorità, a impedire una rilevazione tempestiva della violazione.

Quanto alla sicurezza dei sistemi, l’Autorità ha ritenuto non adeguati:

• la limitata segmentazione di rete;
• la governance insufficiente di configurazione e patching;
• la presenza di numerosi sistemi operativi/applicativi fuori supporto;
• l’assenza di autenticazione multifattore per gli accessi remoti.

Il Garante ha osservato che l’adesione alle misure minime AgID non è di per sé sufficiente a dimostrare il pieno rispetto dell’art. 32 GDPR, poiché il titolare deve effettuare una valutazione del rischio aggiornata nel tempo, coerente con l’evoluzione del contesto tecnologico e delle minacce cibernetiche.

Violazioni accertate

L’Autorità ha concluso che il trattamento è stato effettuato in violazione degli artt. 5, par. 1, lett. f), e 32 GDPR, per:

• mancata adozione di misure adeguate a rilevare tempestivamente la violazione;
• mancata adozione, al momento del fatto, di misure adeguate a garantire la sicurezza dei sistemi;
• conseguente inadeguatezza del livello di sicurezza rispetto ai rischi, particolarmente elevati per la natura sanitaria dei dati e per la vasta platea di interessati.

Sanzione, criteri di quantificazione e pubblicazione

Ai fini della quantificazione della sanzione, il Garante ha considerato:

• la tempestiva notifica della violazione ex art. 33 GDPR;
• la collaborazione dell’Azienda con l’Autorità e le misure adottate per limitare la ripetizione dell’evento e attenuarne gli effetti;
• l’elevato numero di interessati coinvolti;
• la natura dei dati, in particolare i dati sulla salute.

La violazione è stata qualificata come di gravità alta e la sanzione amministrativa pecuniaria è stata determinata in euro 8.600,00. È stata inoltre disposta:

• la pubblicazione dell’ordinanza-ingiunzione sul sito internet del Garante;
• la pubblicazione del provvedimento sul sito dell’Autorità;
• l’annotazione nel registro interno dell’Autorità.

Termini di pagamento e opposizione

L’Azienda è stata ingiunta a pagare la sanzione entro 30 giorni dalla notificazione del provvedimento. È stata richiamata la possibilità di definizione agevolata mediante pagamento di un importo pari alla metà della sanzione, nei termini di legge. Avverso il provvedimento è stata indicata l’opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.