Attacchi informatici: perché gli studi medici sono nel mirino, e come proteggersi

Si immaginano spesso gli attacchi informatici riservati alle grandi imprese. La realtà del 2026 è l'opposto: le piccole strutture sanitarie sono bersagli privilegiati. Detengono dati molto sensibili, e sono spesso meno protette di una grande organizzazione. La buona notizia è che la cybersicurezza di uno studio non è una questione di budget: è una questione di igiene. Questa guida spiega perché lei è coinvolto, quali sono gli attacchi più frequenti, e le misure semplici che coprono l'essenziale del rischio.

1. Perché la sanità è un bersaglio privilegiato

Si combinano tre ragioni:

• I dati sanitari valgono molto. Sul mercato nero, una cartella clinica si rivende molto più di un semplice numero di carta bancaria, perché contiene un'identità completa e duratura, impossibile da «reimpostare».
• Uno studio non può fermarsi. Quando l'agenda e le cartelle sono bloccate, la pressione per pagare un riscatto e riprendere l'attività è enorme. Gli aggressori lo sanno.
• Poche strutture hanno un team informatico dedicato. Il trio «dati preziosi, forte pressione, difesa limitata» è esattamente ciò che cerca un aggressore opportunista.

Importante: la maggior parte degli attacchi non è mirata. Sono campagne automatiche che gettano la rete su larga scala e colpiscono chi non è protetto. Non ha bisogno di essere «interessante» per essere colpito, basta essere vulnerabile.

2. Gli attacchi più frequenti, senza gergo

• Il phishing. Un'e-mail che imita un fornitore, una banca, una cassa o un'autorità per sottrarle le credenziali o farle aprire un allegato trappola. È la porta d'ingresso numero uno, e prende di mira l'essere umano, non la macchina.
• Il ransomware. Un software che cifra i suoi file e chiede un riscatto per sbloccarli. Senza backup, è la catastrofe: agenda, cartelle, tutto diventa inaccessibile.
• Le password deboli o riutilizzate. Una sola password indovinata o recuperata da una fuga di dati, ed è l'accesso a tutto il resto se la usa ovunque.
• Il furto o la perdita di materiale. Un computer portatile o una chiavetta USB non cifrati sono la cartella del paziente alla mercé di tutti.

3. Le misure che contano davvero

• La doppia sicurezza all'accesso (un codice oltre alla password) su tutto ciò che riguarda i dati dei pazienti. È la misura dal miglior rapporto sforzo/protezione: anche una password rubata non basta più per entrare.
• Backup automatici e testati. Un backup che non si è mai provato a ripristinare non è davvero un backup. È la sua rete di sicurezza contro il ransomware.
• Gli aggiornamenti. Software, sito, browser, sistema. La maggior parte degli attacchi sfrutta falle già corrette che nessuno ha installato.
• Password uniche, idealmente con un gestore di password (che le crea, le ricorda e le compila per lei).
• La cifratura dei dispositivi. Attivata di default sui Mac e i PC recenti, resta da verificare che lo sia davvero. Un dispositivo cifrato rubato resta illeggibile.
• Un hosting serio e conforme (vedi la nLPD): sapere dove sono i dati e chi vi accede.
• La prudenza sulle e-mail. Al minimo dubbio, non si clicca, si verifica tramite un altro canale (una telefonata, per esempio).

4. Da dove cominciare: le misure per rapporto sforzo/protezione

Misura	Cosa protegge	Sforzo
Doppia sicurezza all'accesso	Contro le password rubate	Basso
Backup automatici e testati	Contro ransomware e perdita di dati	Da basso a medio
Aggiornamenti regolari	Contro le falle note	Basso
Password uniche + gestore	Contro l'effetto domino di una fuga	Basso
Cifratura dei dispositivi	Contro il furto di materiale	Molto basso (spesso da attivare)
Vigilanza sulle e-mail	Contro il phishing	Basso (abitudine)

Tutte queste misure sono alla sua portata, senza un budget consistente. Inizi dalle prime due: da sole coprono l'essenziale del rischio.

5. E il sito internet in tutto questo?

Un sito ben costruito e mantenuto (aggiornamenti di sicurezza, hosting aggiornato) non è un punto debole. Un sito lasciato all'abbandono da tre anni, invece, lo è: diventa una porta d'ingresso per attacchi automatici. E se il suo sito comprende uno spazio di gestione o la prenotazione di appuntamenti, la doppia sicurezza e i backup non sono opzionali: sono le fondamenta.

6. Cosa fare se ne è vittima?

Mantenere la calma cambia tutto. I riflessi giusti:

• Scollegare il dispositivo o il sistema colpito dalla rete per limitare la propagazione.
• Non pagare nella fretta in caso di ransomware: pagare non garantisce nulla e incoraggia gli aggressori. I suoi backup sono la sua opzione migliore.
• Chiedere aiuto a un professionista informatico di fiducia.
• Valutare se sono coinvolti dati dei pazienti: in tal caso si applicano gli obblighi della nLPD (eventuale notifica all'IFPDT e alle persone interessate).
• Documentare cosa è accaduto e le misure adottate.

Domande frequenti

Il mio studio è piccolo, sono davvero un bersaglio?

Sì. La maggior parte degli attacchi non prende di mira nessuno in particolare: gettano la rete su larga scala e colpiscono chi non è protetto. Essere piccoli non protegge; essere aggiornati sì.

La doppia sicurezza è complicata da mettere in atto?

No. Concretamente, è un codice ricevuto tramite un'applicazione o un secondo fattore all'accesso. Qualche minuto di configurazione, per un guadagno di protezione considerevole. È la misura da attivare per prima.

Bisogna pagare il riscatto in caso di ransomware?

È fortemente sconsigliato: pagare non garantisce di recuperare i dati e finanzia gli aggressori. È proprio per non doversi mai porre la domanda che servono backup testati.

Un antivirus basta?

No. Un antivirus è utile, ma non sostituisce né la doppia sicurezza, né i backup, né gli aggiornamenti, né la vigilanza sulle e-mail. La sicurezza è un insieme di riflessi, non un solo software.

Cosa fare dei vecchi computer e delle chiavette USB?

Prima di disfarsene, cancelli davvero i dati (un semplice «svuota il cestino» non basta). E finché li usa, verifichi che siano cifrati.

L'essenziale da ricordare

La cybersicurezza di uno studio non è una questione di grandi budget, è una questione di igiene. Alcuni riflessi, applicati con serietà, la mettono già fuori dalla portata della stragrande maggioranza degli attacchi. La domanda giusta non è «può capitare a me», ma «sarei pronto se capitasse». Se la risposta è no, inizi da due misure: la doppia sicurezza all'accesso e i backup. Da sole, coprono l'essenziale del rischio.

Fonti

• Ufficio federale della cibersicurezza (NCSC) · rapporti semestrali: gran parte degli incidenti ransomware segnalati riguarda le PMI; raccomandazioni (autenticazione a più fattori, sensibilizzazione del personale).
• SWI swissinfo.ch · Proteggere meglio il settore sanitario dai cybercriminali.