Un’ombra inquietante si stende sul sistema sanitario britannico. Secondo un’analisi della società di cybersicurezza israeliana Hudson Rock, circa 2.000 computer utilizzati da dipendenti e collaboratori dell’NHS (National Health Service) sarebbero stati compromessi da un malware infostealer, un tipo di software malevolo progettato per sottrarre in modo furtivo le credenziali di accesso.
“Queste credenziali potrebbero potenzialmente consentire accessi non autorizzati a infrastrutture critiche”, ha dichiarato Alon Gal, co-fondatore e CTO della società a Insurance Journal.
Gli infostealer non si limitano a carpire le password. Uno degli aspetti più preoccupanti è la capacità di questi malware di catturare anche i cookie di sessione, elementi che permettono di eludere perfino la doppia autenticazione, simulando login legittimi. Questo rende il danno potenzialmente molto più esteso: si tratta di un’arma silenziosa nelle mani degli hacker, in grado di aggirare anche i sistemi di sicurezza più aggiornati.
I dati trafugati riguardano account associati a indirizzi email NHS.net, indicando che le vittime sono operatori sanitari, farmacisti, consulenti IT e altri affiliati del sistema. Tra le piattaforme coinvolte figurano servizi interni del NHS ma anche strumenti di comunicazione e gestione come Zoom, Zendesk, Salesforce e NHS.uk. Il furto copre un arco temporale di cinque anni, dal 2020 al 2025, e nel solo anno in corso si contano già circa 200 dispositivi infetti.
Hudson Rock è arrivata a queste conclusioni acquistando i dati rubati direttamente dai criminali informatici, una pratica controversa ma talvolta adottata nel mondo della ricerca in sicurezza. Per verificarne l’autenticità, gli analisti hanno incrociato informazioni come cronologie di navigazione, dati di riempimento automatico e profili LinkedIn dei dipendenti NHS compromessi. “Le credenziali corrispondono a persone reali impiegate nell’NHS e in altre aziende”, ha spiegato Gal.
Non è ancora chiaro se questi accessi sottratti siano stati già utilizzati per attacchi più invasivi. Tuttavia, per molti esperti il rischio è concreto. Saif Abed, ex medico NHS e oggi esperto di cybersecurity, ha definito la situazione allarmante dopo aver visionato i dati: “Le credenziali rubate includevano accessi a fornitori di cartelle cliniche elettroniche e account amministrativi”, ha detto, sottolineando il potenziale pericoloso impatto su sistemi interni sensibili. “La supply chain dell’NHS è compromessa a livelli che rappresentano una minaccia per la sicurezza dei pazienti”, ha aggiunto, chiedendo l’apertura di un’indagine nazionale sulla sicurezza informatica del sistema sanitario.
Dal canto suo, NHS England non ha risposto direttamente alle accuse di Hudson Rock, ma ha ribadito il proprio impegno nella gestione del rischio tramite una stretta collaborazione con il National Cyber Security Centre, un sistema di monitoraggio attivo 24 ore su 24 e un sistema di allerta ad alta priorità che consente di intervenire sulle vulnerabilità più gravi. Viene inoltre sottolineato l’impiego dell’autenticazione multifattoriale come ulteriore barriera contro gli accessi non autorizzati.
Eppure, il passato recente non aiuta a rassicurare. Negli ultimi anni, l’NHS è stato bersaglio di attacchi informatici devastanti: nel 2022, un attacco a un contractor ha paralizzato l’accesso alle cartelle cliniche, mentre nel 2024 un altro attacco ha causato la cancellazione di migliaia di appuntamenti negli ospedali londinesi, portando alla morte di un paziente e gravi danni per altri. Episodi che dimostrano quanto le falle nella sicurezza digitale possano avere conseguenze letali nel mondo reale.
Il caso dell’NHS non è isolato. Lo scorso anno, un attacco ransomware ha colpito Change Healthcare, una sussidiaria del colosso statunitense UnitedHealth Group, bloccando i sistemi di pagamento di migliaia di ospedali, farmacie e assicurazioni. Anche in quel caso, secondo Hudson Rock, l’accesso iniziale degli hacker sarebbe avvenuto tramite credenziali sottratte da un infostealer, solo pochi giorni prima del cyberattacco.
Il timore è che lo scenario possa ripetersi nel Regno Unito, con conseguenze ancora più gravi. Se la sicurezza informatica del sistema sanitario non viene trattata come una priorità nazionale, il rischio non è solo informatico, ma umano.