Ordinanza ingiunzione o revoca n. 277 del 17/04/2026

Azienda USL Modena: sanzione per insufficienza delle misure di sicurezza dopo un ransomware con esfiltrazione di dati sanitari

Il provvedimento riguarda l’Azienda USL Modena, destinataria di una sanzione amministrativa pecuniaria a seguito di un attacco informatico di tipo ransomware che ha comportato esfiltrazione di dati personali, anche appartenenti a categorie particolari. Il procedimento è stato avviato dopo la notifica della violazione ex art. 33 GDPR e si è sviluppato con richiesta di informazioni, attività ispettiva e contraddittorio difensivo.

Origine del procedimento e contesto fattuale

L’Azienda ha notificato al Garante un data breach dovuto a un attacco hacker ai propri sistemi informativi, attribuito al gruppo malevolo Hunters International. In un primo momento è stata comunicata la pubblicazione sul dark web di 21 file esfiltrati; successivamente l’Autorità è stata informata della diffusione di 1,2 milioni di file, per un totale di 954,7 GB.

Nel corso dell’istruttoria l’Azienda ha ricostruito l’attacco come una penetrazione progressiva nella rete, presumibilmente tramite credenziali VPN di un tecnico esterno, con esfiltrazione iniziata da una certa data. È stato rappresentato che i servizi sanitari non si sono interrotti, ma hanno subito rallentamenti; alcuni servizi sono stati ripristinati progressivamente nei giorni successivi all’incidente.

Dati coinvolti e portata della violazione

La violazione ha riguardato un numero molto elevato di interessati e dati eterogenei, inclusi dati relativi alla salute. L’Azienda ha riferito che l’esfiltrazione parziale ha interessato due asset utilizzati come file server, contenenti cartelle personali dei dipendenti e cartelle di reparto o servizio. Il gruppo di lavoro interno incaricato dell’analisi non è riuscito a definire con precisione il numero degli interessati coinvolti, anche per la variabilità dei formati e dei contenuti dei file esfiltrati.

Misure di sicurezza presenti al momento dei fatti

L’Azienda ha indicato di disporre, al momento della violazione, di diverse misure tecniche e organizzative, tra cui:

• firewall e firewall applicativo;
• antispam e antivirus;
• SIEM;
• servizi di assistenza sistemistica specializzata;
• procedure interne in materia di privacy, formazione e gestione dei data breach;
• segmentazione della rete, backup e procedure di restore;
• un progetto di modernizzazione della sicurezza già avviato.

Quanto all’accesso remoto, è emerso che per la VPN venivano utilizzate le stesse credenziali del dominio, sia per utenti ordinari sia per utenti privilegiati, e che non era presente l’autenticazione a più fattori, la cui introduzione era solo pianificata e non ancora operativa al momento dell’attacco.

Criticità rilevate dal Garante

L’Autorità ha ritenuto che, prima dell’attacco, i soggetti malevoli avessero posto in essere varie attività sintomatiche e propedeutiche alla violazione, come estrazione di credenziali, ricognizione della rete, esfiltrazione progressiva, connessioni notturne anomale, modifiche del registro e creazione di file eseguibili malevoli.

Nonostante ciò, il SIEM in uso non effettuava una correlazione avanzata degli eventi di sicurezza, non erano stati impostati alert o filtri idonei a intercettare o bloccare tempestivamente tali comportamenti, non era presente un SOC e il presidio del personale era limitato all’orario d’ufficio. Il Garante ha quindi ritenuto che mancassero misure adeguate sia per la rilevazione tempestiva dell’incidente sia per la sicurezza complessiva dei sistemi.

Valutazioni giuridiche

L’Autorità ha richiamato:

• l’art. 5, par. 1, lett. f), GDPR, sul principio di integrità e riservatezza;
• l’art. 32 GDPR, sulla sicurezza del trattamento;
• le Linee guida n. 9/2022 del Comitato europeo per la protezione dei dati, nella parte in cui evidenziano che la capacità di individuare e segnalare tempestivamente una violazione è elemento essenziale di un assetto di sicurezza adeguato.

Alla luce del tipo di dati trattati, del numero degli interessati e della gravità dell’attacco, il Garante ha concluso che il trattamento era stato effettuato in violazione degli artt. 5, par. 1, lett. f), e 32 GDPR.

Difese dell’Azienda e misure successive

L’Azienda ha sostenuto, tra l’altro, che l’attacco presentasse caratteristiche tipiche di un’APT, che fosse già in corso un progetto di rafforzamento della sicurezza, che non vi fosse stata interruzione dell’assistenza sanitaria e che, dopo l’evento, fossero state adottate numerose misure tecniche, organizzative e informative.

Tra le misure successive sono stati richiamati:

• isolamento e messa in sicurezza dei sistemi;
• ripristino previa scansione con strumenti dedicati;
• reset obbligatorio delle password di dominio e posta elettronica;
• attività formative sulla cybersecurity e sulla gestione dei dati personali;
• campagne di comunicazione agli interessati;
• attuazione delle raccomandazioni contenute nel report di incidente.

Il Garante ha considerato tali elementi, ma li ha ritenuti non sufficienti a superare i rilievi formulati nel procedimento.

Sanzione e criteri di quantificazione

Ai fini della quantificazione della sanzione, l’Autorità ha valorizzato:

• la gravità della violazione, in ragione della natura sanitaria dei dati e dell’elevato numero di interessati;
• l’intensità della violazione, connessa alla minaccia concretamente verificatasi e all’inadeguatezza delle misure esistenti;
• la tempestiva notifica del data breach;
• la collaborazione prestata dall’Azienda durante l’istruttoria;
• le misure correttive e migliorative successivamente adottate;
• il contesto organizzativo e finanziario in cui era stato avviato il progetto di rafforzamento della sicurezza.

La sanzione amministrativa pecuniaria è stata determinata in euro 10.000,00, ritenuta effettiva, proporzionata e dissuasiva ai sensi dell’art. 83, par. 1, GDPR.

Dispositivo

Il Garante ha:

• dichiarato l’illiceità del trattamento per violazione degli artt. 5, par. 1, lett. f), e 32 GDPR;
• ordinato all’Azienda USL Modena il pagamento di euro 10.000,00 entro 30 giorni dalla notificazione;
• disposto la pubblicazione dell’ordinanza-ingiunzione sul sito del Garante e la pubblicazione del provvedimento sul sito dell’Autorità;
• disposto l’annotazione delle violazioni e delle misure adottate nel registro interno.

È stata inoltre indicata la possibilità di opposizione dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice privacy e 10 d.lgs. 150/2011.