1. Perché la sanità è diventata il bersaglio preferito
La sanità pubblica italiana è oggi uno dei settori più colpiti dagli attacchi informatici, come confermano i monitoraggi dell’Agenzia per la Cybersicurezza Nazionale e i rapporti Clusit degli ultimi anni. Le ragioni sono precise: i dati sanitari valgono sul mercato criminale più di qualsiasi altro dato personale; un’azienda sanitaria non può fermarsi, e chi non può fermarsi è più propenso a cedere a un ricatto; la superficie d’attacco è enorme, fatta di migliaia di postazioni, portali e caselle di posta. C’è poi un quarto fattore, meno citato ma decisivo: la gran parte degli attacchi non passa dai sistemi clinici, ma dalle scrivanie degli uffici amministrativi — protocollo, ragioneria, personale, provveditorato — dove ogni giorno si aprono decine di email, allegati e link.
2. Il personale amministrativo come prima linea di difesa
Nella narrazione comune l’attacco informatico è un evento tecnologico. Nella realtà, quasi sempre comincia con un gesto quotidiano: un clic su un link, un allegato aperto, una password digitata nella pagina sbagliata. Non esistono utenze “poco importanti”: anche l’account di un operatore amministrativo è una porta d’ingresso da cui l’attaccante può muoversi verso i sistemi critici, come dimostrano i casi più gravi che hanno colpito la sanità italiana. Il rovescio positivo della medaglia è che, se il personale amministrativo è il bersaglio preferito, è anche la difesa più efficace: una persona che riconosce il tentativo di inganno ferma l’attacco prima di qualsiasi tecnologia.
3. Le minacce quotidiane: phishing, spear phishing, falsi portali
Il phishing è l’invio massivo di comunicazioni fraudolente — email, ma anche SMS (smishing) e codici QR — che imitano mittenti legittimi per rubare credenziali o far aprire allegati infetti. Funziona perché sfrutta leve psicologiche precise: l’urgenza (“il suo account sarà disattivato entro 24 ore”), l’autorità (il messaggio sembra provenire da un dirigente o dall’ufficio IT), l’abitudine (replica comunicazioni vere: avvisi PagoPA, notifiche PEC, cedolini), la paura e la curiosità. Lo spear phishing è la versione su misura: non messaggi generici ma comunicazioni costruite sulla vittima, con nomi di dirigenti reali, fornitori veri e pratiche plausibili, ricavati da fonti pubbliche come l’albo pretorio e l’organigramma.
Accanto ai messaggi ci sono i falsi portali: pagine che riproducono fedelmente la schermata di accesso della webmail, di SPID, della PEC, e che consegnano le credenziali direttamente all’attaccante. Da lì passano anche le minacce più gravi: il ransomware, che cifra i sistemi e paralizza l’azienda per settimane, quasi sempre entra da un allegato o da credenziali rubate mesi prima. E ci sono le frodi che puntano direttamente al denaro: la truffa del CEO, in cui il criminale si finge un vertice dell’ente per ottenere un pagamento urgente e riservato, e la truffa del cambio IBAN, in cui un finto fornitore chiede di dirottare i pagamenti su un nuovo conto. In entrambi i casi la difesa è la stessa: ogni richiesta di pagamento o variazione bancaria va verificata per un canale diverso da quello da cui è arrivata, chiamando il fornitore a un numero già noto.
4. I criteri operativi: la regola dei cinque controlli
Le minacce sono diverse, ma i segnali di rischio si ripetono. Prima di cliccare, rispondere o pagare, valgono cinque domande:
- Chi scrive davvero? Guardare l’indirizzo email completo, non il nome visualizzato, e verificare il dominio.
- Che cosa mi chiede? Ogni richiesta di credenziali, dati personali, pagamenti o variazioni bancarie è per definizione sospetta.
- Perché ha fretta? L’urgenza è l’ingrediente universale della frode: le scadenze a ore e le minacce di blocco servono a impedirci di riflettere.
- Dove porta il link? Che cos’è l’allegato? Passare il puntatore sul link senza cliccare e leggere l’indirizzo reale; diffidare degli allegati inattesi.
- Il contesto è coerente? Il fornitore che scrive da un indirizzo insolito, il dirigente che chiede riservatezza assoluta, la procedura che salta i passaggi abituali: ogni anomalia è un segnale.
A questi controlli si aggiunge la regola che da sola sventa la maggior parte degli attacchi: mai raggiungere un servizio da un link ricevuto; digitare l’indirizzo, usare i segnalibri o l’app ufficiale. E va sfatato un mito: i messaggi fraudolenti non si riconoscono più dagli errori di ortografia — oggi sono spesso impeccabili.
5. Segnalare, subito e senza timore
Nessuna formazione porterà mai a riconoscere il cento per cento dei tentativi: per questo la contromisura più importante è la segnalazione tempestiva. In caso di messaggio sospetto: non cliccare, non rispondere, non inoltrare, e segnalare al servizio informatico. In caso di clic o di credenziali inserite: avvisare immediatamente l’IT, anche se l’accaduto sembra piccolo o imbarazzante — solo un intervento rapido può bloccare le sessioni e circoscrivere il danno. In caso di sospetta frode nei pagamenti: fermare ogni ulteriore pagamento e attivare le verifiche.
Il nemico della tempestività è la vergogna. Chi segnala subito un errore trasforma un incidente potenzialmente grave in un evento gestito; chi tace regala all’attaccante giorni di operatività indisturbata. In un settore in cui la posta in gioco non è solo il patrimonio informativo ma la continuità delle cure, ogni persona attenta è un sensore di sicurezza: la difesa più efficace non richiede competenze informatiche, ma abitudini precise e il coraggio di dire “credo di aver sbagliato”.
