I laboratori Synlab in Italia conducono ogni giorno, in media, oltre 95 mila esami
Informazioni personali, referti, esami diagnostici, documenti d’identità: i dati sanitari di molte migliaia di italiani (forse di milioni) sono stati pubblicati illegalmente sul dark web, cioè quella parte di internet accessibile solo tramite browser specifici. Questi dati erano stati sottratti lo scorso 18 aprile dagli archivi digitali di Synlab, una della principali aziende sanitarie private d’Italia e d’Europa, dal gruppo di hacker di matrice russa denominato Black Basta.
Il gruppo criminale aveva chiesto all’azienda un riscatto, minacciando altrimenti di pubblicare i dati. Synlab ha detto di non essere disposta a pagare e quindi, il 14 maggio, i dati sono stati pubblicati da Black Basta. Tra i test resi noti ci sono, ad esempio, esami del sangue, terapie, radiografie, ecografie, nonché dati personali e documenti di identità.
Negli oltre 380 laboratori di Synlab – localizzati in Lombardia, Veneto, Friuli-Venezia Giulia, Emilia-Romagna, Lazio, Liguria, Campania e Toscana – si eseguono ogni anno circa 35 milioni di esami. Al momento non si sa quante persone siano rimaste vittima dell’attacco informatico, si sa che sono stati pubblicati 1,5 terabyte di dati: un archivio digitale di quelle dimensioni potrebbe contenere più di due milioni di file.
Cosa può fare un paziente Synlab
L’azienda ha comunicato che si impegnerà ad “informare opportunamente i soggetti coinvolti”. Cosa peraltro prescritta come obbligo dalla legge. Chi si occupa di sicurezza informatica consiglia però a chiunque abbia fatto esami da Synlab negli ultimi anni di inviare una mail di posta certificata all’indirizzo customerservice.italy@synlab.it oppure a uno degli indirizzi regionali disponibili a questo link, chiedendo se i propri dati siano stati rubati e diffusi.
L’esperto di privacy Christian Bernieri ha pubblicato una bozza delle lettera da inviare all’azienda (modificandola e inserendo il proprio nome), a questo link.
Perché Synlab non ha pagato
Synlab ha confermato “di non aver intrapreso alcun tipo di negoziazione, né tantomeno di aver pagato un riscatto all’organizzazione cybercriminale responsabile dell’attacco” perché “rigetta fermamente l’idea di finanziare ulteriori futuri attacchi cybercriminali e criminali che minacciano le infrastrutture critiche, la privacy dei pazienti e la sicurezza nazionale”.
Dati supersensibili
Si tratta di una delle maggiori fughe di dati della storia italiana, nonché una dei più gravi, poiché i dati sanitari sono per definizioni “supersensibili” in quanto – specifica la Corte di Cassazione – “sono involgenti la parte più intima della persona nella sua corporeità e nelle sue convinzioni psicologiche più riservate”.