I dati sanitari rubati sono diventati una delle merci più redditizie nei mercati cybercriminali. Cartelle cliniche, diagnosi, cronologie dei trattamenti, dati assicurativi, credenziali e pacchetti di identità completi alimentano un’economia sommersa che coinvolge gruppi ransomware, broker di accessi, marketplace fraudolenti e venditori di documenti falsi. Il quadro emerge dalla ricerca “The Cybercriminal Underground: Mapping the Healthcare Data Economy” di TrendAI, business unit di Trend Micro. Lo studio descrive un mercato ormai strutturato, nel quale i dati dei pazienti non vengono monetizzati una sola volta, ma possono passare attraverso più canali criminali nel corso del tempo.
Perché i dati sanitari valgono più di una carta di credito
Una carta di credito rubata può essere bloccata e sostituita. Un dato sanitario no. Diagnosi, anamnesi, referti, prescrizioni, dati biometrici e cronologia dei trattamenti restano associati alla persona per anni, spesso per tutta la vita. Questa caratteristica rende le informazioni sanitarie più persistenti e riutilizzabili rispetto ad altre categorie di dati personali. Secondo TrendAI, proprio la combinazione tra sensibilità, durata e ricchezza informativa rende i dati sanitari particolarmente appetibili per i criminali. Le stesse informazioni possono servire per frodi assicurative, furti d’identità, estorsioni mirate, creazione di documenti falsi e attacchi successivi contro pazienti, strutture sanitarie o fornitori.
Il danno non riguarda solo la privacy. In ambito sanitario, un incidente può interferire con cure, prenotazioni, accesso ai referti, sistemi diagnostici e attività cliniche. La pressione sulle organizzazioni aumenta perché il fermo operativo può avere impatti diretti sulla continuità dell’assistenza.
La ricerca TrendAI sui mercati underground
Nell’arco di dodici mesi, i ricercatori TrendAI hanno analizzato 7.779 post pubblicati su forum underground, 21.813 annunci su marketplace del dark web e 95 siti ransomware collegati ad attività cybercriminali nel settore sanitario.
Il periodo di osservazione indicato nel report copre l’intervallo tra febbraio 2025 e febbraio 2026. Le categorie considerate includono sistemi e software sanitari, dispositivi medici, trading di dati, violazioni e ransomware, accessi di rete, marketplace, imaging medicale DICOM e sistemi ICS/SCADA usati in ambienti sanitari.
Il dato mostra un ecosistema criminale molto più articolato rispetto alla semplice vendita di database rubati. Gli access broker offrono punti d’ingresso nelle reti, i gruppi ransomware sottraggono e pubblicano dati, i marketplace vendono cartelle cliniche e pacchetti di identità, mentre altri attori forniscono credenziali, documenti falsi o servizi di frode.
Ransomware ed estorsione trainano il mercato
Le vendite di dati associate al ransomware rappresentano il 36,3% dell’attività rilevata nei marketplace analizzati da TrendAI. Il dato riflette il peso della doppia estorsione: i criminali non si limitano a cifrare i sistemi, ma sottraggono i dati e minacciano la pubblicazione o la vendita se la vittima non paga.
Per gli ospedali e le aziende sanitarie, questa dinamica crea una doppia pressione. Da un lato c’è il rischio di interruzione dei servizi; dall’altro, l’esposizione di informazioni altamente sensibili.
Il report rileva inoltre una forte concentrazione delle fughe di dati pubblicate sui blog ransomware. Due gruppi, Rhysida e Interlock, risultano responsabili da soli del 68,5% dei dati sanitari pubblicati nei leak site analizzati. Rhysida pesa per il 40,4%, Interlock per il 28,1%.
Questa concentrazione indica che pochi operatori possono produrre un impatto rilevante sull’esposizione complessiva del settore.
Access broker e credenziali alimentano la supply chain criminale
La ricerca descrive una vera supply chain del cybercrime sanitario. Gli attori non devono più gestire tutte le fasi dell’attacco: possono acquistare ciò che serve.
Un criminale può comprare credenziali, accessi VPN, accessi RDP, account email, database sanitari o pacchetti completi di identità. I marketplace includono anche dati assicurativi, documenti medici falsi e informazioni utili per frodi successive.
TrendAI segnala che i fullz medici, cioè pacchetti completi di identità con informazioni sanitarie, sono diventati una categoria specifica. I ricercatori hanno individuato 1.607 post dedicati alla vendita di medical fullz. Questi pacchetti possono includere numeri di previdenza sociale, dati assicurativi, date di nascita, dati finanziari, cartelle cliniche e documenti di identità.
Questa struttura abbassa la soglia d’ingresso per gli attaccanti meno esperti. Chi non possiede competenze avanzate può acquistare accessi o dati già pronti e usarli per frodi, estorsioni o campagne di phishing mirate.
I fornitori di cartelle cliniche diventano bersagli strategici
Un elemento centrale dello studio riguarda i fornitori di EHR ed EMR, cioè sistemi per la gestione delle cartelle cliniche elettroniche e dei fascicoli sanitari digitali.
Secondo TrendAI, questi fornitori sono diventati un bersaglio ad alto impatto perché una singola compromissione può esporre dati appartenenti a centinaia di organizzazioni sanitarie.
Il rischio non riguarda quindi solo ospedali, cliniche e laboratori. Piattaforme software, fornitori cloud, gestori di sistemi diagnostici, società di telemedicina e partner tecnologici possono diventare moltiplicatori di esposizione.
Questo sposta l’attenzione dalla singola violazione aziendale alla sicurezza dell’intero ecosistema. Un fornitore compromesso può diventare il punto d’ingresso verso più strutture, anche quando queste ultime hanno controlli interni adeguati.
Il valore criminale dei dati sanitari dura nel tempo
La monetizzazione non termina con la prima vendita.
Un database sanitario può essere suddiviso, arricchito, combinato con altri archivi e rivenduto a soggetti diversi. Le informazioni possono passare dai gruppi ransomware ai broker, dai broker ai marketplace, dai marketplace agli specialisti di frodi assicurative o furti d’identità.
TrendAI descrive il settore sanitario come uno dei verticali più redditizi per il cybercrime underground, sostenuto da una supply chain multilingue e globale. Nel report viene citata anche una specializzazione regionale: gli attori russofoni risultano più presenti nei pacchetti fullz e nelle frodi d’identità, mentre comunità in lingua turca e portoghese risultano concentrate su accessi e dati assicurativi.
Questo modello rende la violazione più dannosa nel lungo periodo. Anche dopo la chiusura dell’incidente, i dati possono continuare a riapparire in nuovi contesti criminali.
Sanità più esposta per urgenza operativa e dati sensibili
Le organizzazioni sanitarie presentano caratteristiche che aumentano l’interesse dei criminali.
I servizi devono restare disponibili, i sistemi clinici non possono subire interruzioni prolungate e molti ambienti integrano tecnologie eterogenee, dispositivi medici, software legacy e fornitori esterni.
TrendAI sottolinea che gli incidenti nel settore sanitario possono influire su sicurezza dei pazienti, continuità delle cure e fiducia nel sistema. Il blocco di cartelle cliniche elettroniche, sistemi di imaging e workflow clinici può ritardare l’assistenza e costringere il personale a procedure manuali più rischiose.
Questa pressione operativa offre ai gruppi ransomware una leva significativa. La minaccia non riguarda soltanto la perdita di dati, ma la capacità della struttura di lavorare in condizioni sicure.
Le priorità difensive per le organizzazioni sanitarie
La difesa dei dati sanitari richiede una visione che includa tecnologia, processi, fornitori e gestione del rischio.
TrendAI raccomanda di valutare la postura di sicurezza, mappare la superficie d’attacco, rilevare minacce attive e monitorare i fornitori critici, in particolare quelli legati a EHR, EMR e piattaforme sanitarie.
Le misure più rilevanti includono:
- inventario aggiornato di sistemi clinici, applicazioni, dispositivi e asset esposti;
- controllo continuo degli accessi remoti;
- autenticazione a più fattori per account privilegiati e fornitori;
- monitoraggio delle credenziali compromesse nei canali underground;
- segmentazione delle reti cliniche e amministrative;
- backup offline o immutabili, con test di ripristino;
- gestione rigorosa delle vulnerabilità nei sistemi legacy;
- verifica della sicurezza dei fornitori software;
- controlli su esfiltrazione di dati e traffico anomalo;
- procedure di risposta agli incidenti con ruoli e tempi definiti.
La protezione deve includere anche la fase successiva alla violazione. Se i dati sono già usciti dall’organizzazione, diventa necessario monitorare la loro ricomparsa nei marketplace, valutare gli obblighi di notifica e ridurre il rischio di frodi contro pazienti e strutture.
Un problema di ecosistema, non solo di singole aziende
Il report mostra che la sanità non è più colpita solo attraverso attacchi opportunistici contro ospedali isolati. Il modello criminale si è evoluto verso un’economia organizzata, capace di riutilizzare dati, accessi e credenziali in più fasi.
La compromissione di un fornitore, di una piattaforma o di un database può produrre effetti a catena su molte strutture. Per questo motivo, la sicurezza sanitaria deve includere controlli sui partner, clausole contrattuali, audit, monitoraggio continuo e procedure condivise di risposta.
I dati dei pazienti restano una risorsa criminale durevole. Proteggerli richiede un approccio che non si limiti alla prevenzione dell’attacco iniziale, ma consideri tutto il ciclo di vita del dato: raccolta, archiviazione, accesso, condivisione, esposizione e possibile riutilizzo nei mercati underground.
