Cosa è successo?
In occasione del convegno per l'anniversario dei dirigenti IT ospedalieri a Berlino, il Prof. Sebastian Schinzel e Nico Brüggemann del Fraunhofer-Institut für Sichere Informationstechnologie (SIT) hanno presentato una simulazione di crisi relativa a un attacco informatico contro un ospedale fittizio, rappresentativo della realtà tedesca. In un seminario, 23 partecipanti hanno assunto 12 ruoli diversi – dall'IT alla direzione, dalla direzione medica all'assistenza infermieristica, fino alla sicurezza informatica e allo stato maggiore di crisi. L'obiettivo era verificare se una struttura resti operativa anche in caso di completo blackout informatico.
Non è stata simulata la tecnologia in sé, bensì la reazione organizzativa – con estratti realistici di firewall, nomi, domini e reti plausibili, nonché i cosiddetti inject, ovvero eventi inseriti come richieste stampa o guasti ai sistemi.
I dettagli
L'attacco simulato inizia in modo poco appariscente: attraverso una classica ricerca OSINT (Open Source Intelligence), l'aggressore raccoglie dal sito web dell'ospedale indirizzi email, nomi, funzioni e indicazioni su sistemi esterni. Sulla base di queste informazioni viene formulata un'email di phishing su misura. Nello scenario, un dipendente IT con diritti di amministrazione cade nella trappola. L'aggressore utilizza quindi l'accesso VPN, scansiona la rete, individua un server Exchange e vi sottrae le credenziali di accesso. Da questo momento, secondo Brüggemann, si deve considerare compromesso l'intero Active Directory.
Segue l'escalation: log sospetti, esfiltrazione di dati, sistemi fuori servizio come il sistema informativo ospedaliero, la radiologia e i sistemi di laboratorio – e infine una lettera di riscatto.
Nell'esercitazione, la catena di escalation dall'amministratore alla direzione IT, al responsabile della sicurezza informatica (ISB), fino alla direzione aziendale ha funzionato bene, così come decisioni di principio chiare quali non pagare il riscatto e scollegare la struttura da internet. Più difficile si è rivelato il percorso inverso: lo stato maggiore di crisi è diventato una strada a senso unico, le informazioni affluivano ma non tornavano indietro. I dipendenti IT si trovavano talvolta nella stanza accanto senza conoscere le decisioni prese.
Un risultato centrale ha riguardato la documentazione: durante l'esercitazione, qualcuno ha chiesto informazioni su una misura già decisa da tempo – ma nessuno l'aveva messa per iscritto. Anche la reazione istintiva di spegnere immediatamente tutto si è rivelata problematica: uno spegnimento incontrollato distrugge le tracce forensi, e spesso non è chiaro quali sistemi siano urgentemente necessari in quel momento, ad esempio durante un intervento chirurgico. La misura migliore è generalmente la separazione mirata della rete.
Quando l'IT va fuori servizio, vengono meno anche processi invisibili: ricovero, referti, archivio immagini, somministrazione dei farmaci, turni di lavoro, servizio mensa. Nell'esercitazione si è quindi discusso anche di staffette a piedi, cambi di turno e soluzioni pragmatiche, come il pagamento degli stipendi basato sull'importo del mese precedente, poiché non era possibile un nuovo calcolo.
Inquadramento
Schinzel, attivo da oltre 20 anni nel settore della sicurezza informatica e in passato egli stesso penetration tester, ha sottolineato: "Non avevo mai sperimentato finora una dinamica simile." Ha fatto riferimento a una possibile minaccia futura rappresentata da malware in grado di accedere a un LLM e adattarsi autonomamente – in tal caso anche il classico rimedio, ovvero tagliare la connessione internet, potrebbe non essere più efficace, ad esempio se gli aggressori trovano internamente una GPU su cui far girare un piccolo modello.
Schinzel porta esperienza diretta dall'attacco ransomware subito dalla FH Münster nel 2022. Da altre università colpite ha appreso come le crisi possano degenerare: dirigenti IT sollevati dall'incarico, dipartimenti che smettono di comunicare proprio nel momento in cui la comunicazione è vitale.
Particolarmente istruttiva è l'osservazione sui tempi di ripristino: i team stimano spesso il ritorno alla normalità in termini di giorni, ma realisticamente servono settimane o addirittura mesi. Un caso nell'area di Francoforte, noto a Brüggemann, ha richiesto circa un anno per tornare alla condizione originaria – e in quel caso non era nemmeno avvenuta una cifratura, ma solo la compromissione dell'Active Directory. I backup restano indispensabili, ma non risolvono il problema di un'infrastruttura compromessa.
Consigli pratici
- Organizzare lo stato maggiore di crisi come comunicazione a doppio senso: servono persone che si spostino costantemente da una stanza all'altra per tenere aggiornati tutti i soggetti coinvolti.
- Definire ruoli fissi per la verbalizzazione e il quadro della situazione: chi documenta le decisioni, chi gestisce l'elenco delle misure, chi informa internamente ed esternamente?
- Legare i ruoli a funzioni con sostituti, non a singole persone, poiché queste possono risultare assenti.
- Non spegnere tutto per istinto – verificare invece una separazione mirata della rete e preservare le tracce forensi.
- Predisporre processi di riserva analogici per ricovero, somministrazione farmaci, turni di lavoro e servizio mensa, nel caso in cui email, Teams e telefonia risultino inattivi.
- Pianificare orizzonti temporali realistici per il ripristino – settimane o mesi, non solo giorni.
Prospettive
Le simulazioni hanno un impianto scientifico: procedure e decisioni vengono analizzate, e le strutture partecipanti ricevono un rapporto finale. Il Fraunhofer SIT è attualmente alla ricerca di ulteriori ospedali disposti a partecipare allo studio. Gli scenari vengono adattati in anticipo all'ambiente IT specifico tramite questionario, pur restando comparabili tra loro. Brüggemann ha sottolineato a heise online che solo con un numero maggiore di esercitazioni sarà possibile ottenere alla fine dati solidi. Il feedback dei partecipanti confluisce direttamente nello sviluppo ulteriore della simulazione e dei processi di emergenza.
Per il settore IT ospedaliero, l'esercitazione fornisce quindi importanti spunti: la sicurezza informatica non può essere semplicemente delegata al reparto IT, ma riguarda l'intera organizzazione – dall'assistenza infermieristica alla direzione aziendale. Soprattutto nelle reti ospedaliere con più sedi, la situazione in caso di emergenza reale diventa rapidamente complessa, come ha riassunto una partecipante all'esercitazione.
