Sanità sotto attacco: Aesto espone 9,5 milioni di pazienti, ospedale francese multato

🛡️ Executive Summary

• Aesto Health comunica un breach dell’infrastruttura AWS che coinvolge 9.540.683 persone e dati sanitari, SSN, documenti e informazioni finanziarie.
• La CNIL multa per 500.000 euro l’Hôpital Privé de la Loire dopo il furto di dati relativi a 727.113 pazienti e persone di fiducia.
• In Francia mancano MFA, VPN e controlli adeguati; negli USA emerge invece il rischio sistemico dei fornitori che centralizzano milioni di cartelle sanitarie.

Due incidenti sanitari mostrano quanto il dato clinico sia diventato uno degli asset più concentrati e difficili da proteggere dell’economia digitale. Negli Stati Uniti Aesto Health, società specializzata nella migrazione e archiviazione di cartelle elettroniche, ha comunicato un breach che secondo il Department of Health and Human Services coinvolge 9.540.683 persone. In Francia, invece, la CNIL ha inflitto una sanzione da 500.000 euro all’Hôpital Privé de la Loire dopo un’intrusione che ha permesso di raggiungere i dati di 524.867 pazienti e 202.246 persone indicate come soggetti di fiducia. I casi sono tecnicamente differenti ma convergono sullo stesso problema: identità, salute e infrastruttura sanitaria restano legate da catene di fiducia nelle quali una singola compromissione può assumere dimensioni milionarie.

Aesto Health porta il breach sanitario a 9.540.683 persone

Il dato definitivo emerge dal Breach Portal dell’Office for Civil Rights del Department of Health and Human Services, che registra Aesto LLC come Business Associate coinvolto in un “Hacking/IT Incident” su network server e indica 9.540.683 persone interessate. Aesto fornisce servizi di migrazione, archiviazione e accesso ai dati sanitari utilizzati quando ospedali e studi medici sostituiscono i propri sistemi Electronic Health Record o acquisiscono altre strutture. La scala dell’incidente deriva quindi dalla funzione stessa del provider: un’azienda che raccoglie cartelle provenienti da numerosi clienti sanitari può concentrare in un unico ambiente informazioni appartenenti a milioni di pazienti. È la stessa dinamica osservata nel breach CareCloud che ha raggiunto oltre 3,75 milioni di persone attraverso un ambiente AWS sanitario, ma nel caso Aesto il numero comunicato alle autorità è più che doppio e mostra quanto il rischio dei business associate possa propagarsi ben oltre il singolo ospedale.

Leggi anche: Unlimited Technology Systems espone dati sanitari di oltre 3,8 milioni di persone

L’accesso ad AWS dura dal 2 al 18 dicembre e coinvolge PHI e identificativi permanenti

Nel notice ufficiale pubblicato da Aesto Health la società spiega che l’incidente ha interessato una porzione limitata della propria infrastruttura Amazon Web Services. L’attività non autorizzata è stata rilevata intorno al 18 dicembre 2025, ma l’analisi forense e la successiva revisione manuale dei documenti hanno stabilito soltanto il 26 maggio 2026 che un attore non autorizzato poteva avere avuto accesso o acquisito informazioni tra il 2 e il 18 dicembre. Il materiale varia da persona a persona e comprende nomi completi, date di nascita, informazioni mediche, dati assicurativi, numeri di patente, identificativi governativi, Individual Taxpayer Identification Number, Social Security Number e numeri di conto finanziario. Aesto precisa che gli SSN riguardano soltanto una parte limitata degli interessati e afferma di non avere evidenze di furto d’identità o frodi finanziarie direttamente collegate all’incidente. L’assenza di abuso osservato non riduce però il valore del dataset: molte delle informazioni sottratte non possono essere semplicemente “ruotate” come una password e restano utilizzabili per impersonificazione e social engineering molto tempo dopo la chiusura dell’intrusione.

Aesto dimostra il rischio dei fornitori che archiviano le vecchie cartelle cliniche

La particolarità di Aesto è che il provider non deve necessariamente gestire il sistema clinico utilizzato quotidianamente dal paziente per diventare un punto critico della catena. I suoi servizi comprendono legacy data archiving, migrazione di EHR e trasferimento dei dati tra piattaforme, attività che richiedono di conservare grandi quantità di informazioni anche quando una struttura sanitaria ha già cambiato software. La superficie di rischio si sposta quindi dalle applicazioni cliniche operative alle copie create durante migrazioni, acquisizioni e progetti di consolidamento. È un problema già apparso nel caso Nutex Health, dove l’incidente ha riaperto la questione sulla quantità di informazioni sensibili conservate nell’infrastruttura sanitaria. Nel caso Aesto l’HHS classifica esplicitamente la società come Business Associate, cioè soggetto che tratta informazioni sanitarie protette per conto di entità coperte da HIPAA. La sicurezza dell’ospedale non può quindi essere valutata soltanto osservando firewall e sistemi interni: una parte della cartella può continuare a vivere presso fornitori esterni anni dopo una migrazione.

In Francia basta un solo account per raggiungere tutti i pazienti dell’ospedale

Il caso francese è diverso perché l’autorità ha potuto ricostruire nel dettaglio le carenze che hanno ampliato la violazione. Nella decisione pubblicata il 3 settembre dalla CNIL, l’autorità spiega che durante l’estate 2025 un aggressore è riuscito a collegarsi al Dossier Patient Informatisé, il sistema che centralizza le informazioni delle persone assistite dall’Hôpital Privé de la Loire. L’accesso ha permesso di raggiungere i dati di 524.867 pazienti, inclusi per alcuni informazioni sanitarie, e quelli di 202.246 “tiers de confiance”, cioè persone indicate dai pazienti come riferimenti di fiducia. Il totale è quindi di 727.113 individui, una cifra più precisa dei circa 727.000 utilizzati nelle ricostruzioni giornalistiche. Il punto più grave individuato dalla CNIL riguarda il controllo degli accessi: utilizzando le credenziali di un solo account, l’attaccante poteva raggiungere i dati dell’intera popolazione dei pazienti perché la politica delle autorizzazioni non rispettava adeguatamente il principio dell’équipe de soins e non limitava il personale alle informazioni necessarie per i pazienti effettivamente presi in carico.

Nessuna MFA, nessuna VPN e giorni di esfiltrazione senza allarme

La CNIL non sanziona l’ospedale semplicemente perché è stato attaccato, ma perché ritiene insufficienti alcune misure elementari previste dall’articolo 32 del GDPR. Gli utenti esterni, compresi medici liberi professionisti, potevano accedere al dossier informatizzato senza VPN e senza un secondo fattore di autenticazione. A questa debolezza si aggiungeva l’assenza di controlli capaci di rilevare in tempo reale o quasi reale un comportamento anomalo nel DPI. L’aggressore ha così potuto esplorare il sistema per diversi giorni ed estrarre un volume molto elevato di informazioni senza generare un allarme efficace. La sanzione da 500.000 euro nasce quindi dall’effetto combinato tra autenticazione debole, privilegi troppo ampi e detection insufficiente. Il caso dimostra perché il semplice possesso di credenziali valide non dovrebbe equivalere alla possibilità di interrogare l’intero archivio clinico: in un sistema sanitario, least privilege, segmentazione degli accessi e monitoraggio comportamentale devono limitare il danno anche dopo il superamento dell’autenticazione iniziale.

La CNIL sanziona anche la mancata notifica a oltre 202.000 persone

La seconda violazione riguarda l’articolo 34 del GDPR. L’Hôpital Privé de la Loire aveva informato i pazienti coinvolti ma non aveva notificato direttamente le 202.246 persone di fiducia i cui dati erano stati ugualmente sottratti. Secondo la CNIL, questa omissione le ha private delle informazioni necessarie per comprendere la natura dell’attacco, le possibili conseguenze e le misure da adottare per ridurre il rischio di utilizzi malevoli. È un elemento spesso sottovalutato nella gestione dei breach: il perimetro delle persone interessate non coincide necessariamente con quello dei clienti o dei pazienti principali. Contatti d’emergenza, familiari, garanti, caregiver e altri soggetti possono entrare nei database senza avere un rapporto diretto con l’organizzazione e restare quindi fuori dai primi processi di notifica. La campagna di phishing che ha sfruttato il Fascicolo Sanitario Elettronico per raccogliere identità complete e dati di pagamento mostra inoltre perché conoscere in anticipo informazioni sanitarie e relazioni personali possa rendere successivi tentativi di impersonificazione molto più credibili.

Continua con:

• Covenant Health espone 478.000 pazienti e mostra la persistenza del rischio sanitario
• Dati sanitari e documenti personali finiscono nel leak di Gruppo Spaggiari

Il problema sanitario non è soltanto fermare l’attaccante ma sapere dove vive ogni copia del dato

Aesto e Hôpital Privé de la Loire rappresentano due modelli differenti dello stesso rischio. Nel primo, 9,54 milioni di persone finiscono nel perimetro di un singolo incidente perché un fornitore specializzato centralizza dati provenienti da molti operatori sanitari dentro la propria infrastruttura. Nel secondo, la compromissione di una sola identità diventa accesso all’intero dossier dei pazienti perché autenticazione, autorizzazioni e detection non limitano sufficientemente l’attaccante. Nessuno dei due casi permette di concludere che cloud o digitalizzazione sanitaria siano intrinsecamente insicuri. Dimostrano invece che il dato clinico deve essere protetto durante tutto il suo ciclo di vita, comprese copie storiche, migrazioni, backup e ambienti affidati ai business associate. Una password può essere sostituita e un server ricostruito; diagnosi, storia clinica, data di nascita e Social Security Number rimangono invece legati alla persona. Nel settore sanitario è proprio questa permanenza a trasformare un incidente informatico di pochi giorni in un rischio che può accompagnare milioni di individui per anni.