Veradigm conferma il furto di dati pazienti, Gentlemen rivendica 3,5 milioni di record

🛡️ Executive Summary

• Credenziali rubate a un fornitore esterno sono state utilizzate per accedere a una API Veradigm e scaricare dati personali di pazienti.
• I dati comprendono in alcuni casi Social Security number, mentre Veradigm esclude informazioni cliniche e accesso alla propria infrastruttura generale.
• Gentlemen rivendica più di 3,5 milioni di record, ma Veradigm non conferma pubblicamente né l’attribuzione né il numero indicato dagli attaccanti.

Veradigm ha confermato un data breach che coinvolge informazioni personali di pazienti dopo il furto di credenziali appartenenti a un fornitore esterno. L’attaccante ha utilizzato quelle credenziali per interrogare una API di Veradigm e scaricare dati, comprendenti in alcuni casi Social Security number. La società afferma che non siano state sottratte informazioni cliniche o mediche e che l’account compromesso non consentisse di entrare nella rete generale, nei server o negli altri database aziendali. La disclosure arriva dopo che The Gentlemen ha inserito Veradigm nel proprio leak site rivendicando oltre 3,5 milioni di record: un numero che, allo stato attuale, non è confermato dall’azienda.

Il breach passa dalle credenziali di un fornitore

Nel Form 8-K depositato presso la SEC, Veradigm spiega di avere appreso che un proprio third-party vendor aveva subito un incidente di sicurezza. Nell’ambiente del fornitore un soggetto non autorizzato avrebbe ottenuto credenziali utilizzate normalmente per accedere a una API Veradigm necessaria all’erogazione dei servizi. L’attaccante ha quindi usato un’identità apparentemente legittima per scaricare informazioni appartenenti ai pazienti di un numero limitato di clienti. Il caso è un esempio classico del rischio supply chain: la compromissione iniziale avviene fuori dall’azienda che custodisce il dato, ma le credenziali sottratte permettono di raggiungerlo ugualmente. La società sottolinea che il perimetro dell’accesso era limitato alla specifica API. Non risultano, sulla base delle informazioni rese pubbliche, accessi alla rete aziendale più ampia o interruzioni operative. Per i pazienti coinvolti il rischio resta tuttavia concreto perché dati identificativi e Social Security number possono essere riutilizzati per frodi, furti di identità e campagne di social engineering.

Leggi anche: The Gentlemen cresce nel ransomware tra doppia estorsione, credenziali compromesse e attacchi alle infrastrutture

Gentlemen rivendica 3,5 milioni di record

Il gruppo The Gentlemen aveva pubblicato Veradigm sul proprio sito di estorsione il 5 settembre, sostenendo di avere ottenuto più di 3,5 milioni di record personali di pazienti contenenti nomi, indirizzi, email, telefoni, Social Security number e altre informazioni. La successiva disclosure di Veradigm conferma quindi l’esistenza di un furto di dati, ma non permette di equiparare automaticamente la rivendicazione criminale ai risultati dell’indagine interna. Veradigm non nomina Gentlemen nel documento SEC, non attribuisce l’intrusione a uno specifico gruppo e non comunica quante persone siano state complessivamente coinvolte. Anche il nome del vendor compromesso resta riservato. La distinzione è essenziale: la presenza di una vittima sul leak site costituisce una rivendicazione, mentre l’attribuzione richiede elementi tecnici ulteriori.

Un accesso API può bastare per un data breach rilevante

L’incidente mostra anche perché la sicurezza delle API e delle identità dei fornitori sia diventata centrale. Non serve necessariamente compromettere un domain controller o ottenere privilegi amministrativi su tutta la rete: se una credenziale valida consente già di interrogare dati sensibili, il furto può avvenire attraverso operazioni che inizialmente assomigliano a normale traffico applicativo. Diventano quindi decisivi privilegi minimi, rotazione dei token, limiti alle quantità scaricabili e sistemi capaci di individuare accessi anomali anche quando l’autenticazione risulta formalmente corretta.

Continua con:

• Il ransomware moderno trasforma dati e accessi della supply chain in strumenti di estorsione

Breach confermato, attribuzione ancora aperta

Per Veradigm i punti ormai confermati sono tre: un fornitore è stato compromesso, le sue credenziali sono state utilizzate contro una API e dati personali di pazienti sono stati sottratti. Restano invece aperti il numero complessivo degli interessati, l’identità del vendor e il collegamento definitivo con Gentlemen. È proprio questa separazione a evitare di trasformare una rivendicazione ransomware in una certezza tecnica. Il breach esiste e coinvolge dati sensibili; 3,5 milioni di record e attribuzione a Gentlemen restano invece elementi dichiarati dagli attaccanti finché Veradigm o gli investigatori non li confermeranno.