ASST Fatebenefratelli Sacco di Milano: attacco informatico ai sistemi di quattro ospedali, poi rivendicato dal gruppo Vice Society
Domenica 1 maggio 2022 i sistemi informatici dell'ASST Fatebenefratelli Sacco di Milano (ospedali Sacco, Fatebenefratelli, Buzzi e clinica Macedonio Melloni) sono andati in tilt. Per due giorni pronto soccorso e punti prelievo hanno lavorato con moduli cartacei e le emergenze sono state dirottate su altri ospedali. A fine giugno il gruppo Vice Society ha rivendicato l'attacco. Qui trovi i fatti, le fonti e ciò che non si sa. Il caso risale a più di quattro anni fa.
Caso concluso il 5 novembre 2026 Concluso Le informazioni vengono da fonti pubbliche, elencate in fondo alla pagina; BoNet™ non ha informazioni dirette sull'incidente. Non ci sono novità da oltre otto mesi: non aggiorniamo più la scheda, che resta consultabile nell'archivio.
Il quadro completo dell'evento
Il 1 maggio 2022 un attacco informatico ha messo fuori uso i sistemi dell'ASST Fatebenefratelli Sacco di Milano, con conseguenze su tutte le sedi (ospedali Sacco, Fatebenefratelli e Buzzi e clinica Macedonio Melloni). Pronto soccorso e punti prelievo hanno lavorato in modo limitato e con moduli cartacei il 2 e il 3 maggio; l'AREU ha dirottato le emergenze su altri ospedali; secondo la Regione Lombardia le visite già prenotate e il pre-ricovero erano garantiti.
A fine giugno 2022 il gruppo Vice Society ha rivendicato l'attacco e, secondo i giornali, ha pubblicato online un archivio di documenti con dati di pazienti, di dipendenti e dell'azienda. Nelle fonti consultate non c'è una conferma ufficiale né del ransomware né dell'entità dei dati, né una cifra di riscatto, né la data del ripristino completo.
Non essendoci novità da oltre otto mesi dall'ultimo sviluppo della notizia, concludiamo l'aggiornamento di questo caso. La scheda resta consultabile, completa di fatti e fonti, nell'archivio dell'osservatorio.
Data di inizio dell'evento: 1 maggio 2022 · Ultimo controllo delle fonti: 5 novembre 2026
- Scheda creata sulla base di tre articoli del 2 maggio 2022 (Cybersecurity360, Techprincess, Il Giornale) e di un articolo del 28 giugno 2022 sulla rivendicazione (Techprincess). Non abbiamo letto direttamente le note della Regione Lombardia o dell'azienda: le loro dichiarazioni sono quelle riprese dai giornali. La scheda sarà ricontrollata ogni settimana.
Tre cose da sapere
Che cosa è successo
Un attacco informatico ha colpito i servizi di base dell'infrastruttura informatica dell'azienda, con conseguenze su tutte le sedi. Pronto soccorso e punti prelievo sono rimasti accessibili solo in modo limitato e con moduli cartacei.
Che cosa dice la Regione
Secondo la nota della Regione Lombardia, ripresa dai giornali, i tempi di ripristino non erano definibili, ma le visite già prenotate e il pre-ricovero erano garantiti. L'azienda ha annunciato una denuncia e sono intervenuti i tecnici regionali e la Polizia postale.
Che cosa è successo dopo
Circa due mesi dopo il gruppo Vice Society ha rivendicato l'attacco e, secondo i giornali, ha pubblicato online un archivio di documenti dell'azienda. L'azienda non ha confermato nelle fonti consultate né il ransomware né la pubblicazione.
I fatti, con le fonti
Ogni riga indica da dove viene l'informazione e quanto è solida. «Dichiarato» significa detto da un'azienda o da un'autorità; «riportato» significa scritto dalla stampa; «rivendicato» è ciò che dicono gli aggressori; «stima» e «ipotesi» dicono da soli quanto fidarsi. I numeri tra parentesi rimandano alle fonti in fondo alla pagina.
| Fatto | Stato | Fonti |
|---|---|---|
| Il 1 maggio 2022 i sistemi informatici dell'ASST Fatebenefratelli Sacco, che comprende gli ospedali Sacco, Fatebenefratelli e Buzzi e la clinica Macedonio Melloni, sono andati in tilt. Le fonti indicano orari diversi: dalle 3 di notte secondo un giornale, nel pomeriggio secondo un altro. | Riportato dalla stampa | [1] [2] [3] |
| Secondo la nota della Regione Lombardia, ripresa dai giornali, c'erano gravi problemi tecnici all'infrastruttura informatica dell'azienda: l'azione ha colpito i servizi di base e ha avuto conseguenze su tutte le sedi, con tempi di ripristino non definibili. | Dichiarato | [2] [3] |
| Pronto soccorso e punti prelievo erano accessibili in modo limitato e solo con moduli cartacei, il 2 e il 3 maggio. Secondo la Regione le visite già prenotate e il pre-ricovero erano garantiti. | Dichiarato | [2] [3] |
| L'azienda regionale per l'emergenza urgenza (AREU) ha dirottato le emergenze su altri ospedali milanesi, con il supporto del Policlinico di Milano. | Riportato dalla stampa | [3] |
| Sono intervenuti i tecnici dei servizi regionali di sicurezza informatica e la Polizia postale; l'azienda ha annunciato una denuncia formale. | Riportato dalla stampa | [2] [3] |
| Il 2 maggio 2022, a partire da una nota che parlava di cartelle cliniche criptate, un giornale di settore ha scritto che poteva trattarsi di un ransomware: era solo un'ipotesi. | Ipotesi | [1] |
| Circa due mesi dopo il gruppo Vice Society ha rivendicato l'attacco; secondo il giornale di settore la rivendicazione ha permesso di stabilire che era un ransomware (articolo aggiornato il 22 giugno 2022). | Rivendicato | [1] [4] |
| Secondo i giornali il gruppo ha pubblicato online un archivio con dati sanitari di pazienti (anche minori), dati personali di dipendenti, documenti fiscali e decisionali dell'azienda. Nelle fonti consultate non c'è una conferma dell'azienda e non è indicata la quantità dei dati. | Riportato dalla stampa | [1] [4] |
| Un esperto di sicurezza informatica ha ipotizzato che le credenziali di accesso fossero in vendita nel mercato criminale almeno da gennaio 2022. | Ipotesi | [1] |
- Se l'azienda o la Regione abbiano confermato ufficialmente che si trattava di un ransomware: nelle fonti consultate c'è solo l'ipotesi del primo giorno e la rivendicazione del gruppo.
- Se i dati rivendicati siano davvero quelli dell'azienda e quante persone siano coinvolte: la pubblicazione è riportata dai giornali, senza numeri.
- Come gli aggressori siano entrati: c'è solo l'ipotesi di un esperto sulle credenziali.
- Quando i sistemi sono tornati a funzionare normalmente: le fonti consultate parlano solo dei primi giorni e dicono che tornare alla normalità richiedeva ore o giorni.
- Se sia stato chiesto un riscatto e di quale importo: nelle fonti lette non c'è nessuna cifra. Un titolo di un altro giornale parla di una richiesta di 18 milioni (valuta non indicata nel titolo), ma l'articolo non è leggibile e non lo usiamo.
Considerazioni generali, valide per qualunque organizzazione: non sono conclusioni sull'azienda colpita.
- Un piano per lavorare senza i sistemi informatici, con moduli cartacei e con il trasferimento delle emergenze ad altri ospedali, ha permesso di non fermare l'assistenza urgente. Conviene provarlo prima che serva.
- Un attacco può avere seguito settimane dopo, quando il gruppo pubblica i dati: i pazienti e il personale vanno informati anche allora.
- Le credenziali rubate o in vendita sono una porta d'ingresso frequente: conviene cambiarle e proteggere gli accessi con l'autenticazione a più fattori.
Da dove vengono le informazioni
| N. | Fonte | Titolo | Data | Che cosa abbiamo usato |
|---|---|---|---|---|
| [1] | Cybersecurity360 | Attacco informatico all'ASST Fatebenefratelli-Sacco di Milano: potrebbe essere un ransomware | 22 giugno 2022 | Ipotesi del primo giorno, aggiornamento con la rivendicazione, dati pubblicati, ipotesi dell'esperto. |
| [2] | Techprincess | Un attacco hacker ha colpito gli ospedali Fatebenefratelli e Sacco di Milano | 2 maggio 2022 | Nota della Regione Lombardia, servizi limitati, intervento di tecnici e Polizia postale. |
| [3] | Il Giornale | Hacker attaccano l'ospedale, bloccati i pronto soccorso di Milano | 2 maggio 2022 | Nota della Regione, emergenze dirottate dall'AREU, servizi garantiti. |
| [4] | Techprincess | Vice Society rivendica l'attacco al Fatebenefratelli Sacco di maggio | 28 giugno 2022 | Rivendicazione del gruppo e archivio pubblicato. |
Testi riassunti e riscritti con parole nostre. Se trovi un errore o una novità segnalacelo e correggeremo la scheda.
- Frigoriferi dei supermercati: nuova ondata di attacchi in Belgio, Svezia, Estonia, Italia e altri Paesi europei · notte tra l'1 e il 2 novembre 2026
- Binance: incidente di sicurezza, prelievi sospesi e un impatto stimato di 6,3 miliardi di dollari · 29 ottobre 2026
- Cisco ASA e FTD: nuova falla della VPN SSL che riavvia il firewall, già sfruttata · 28 ottobre 2026
Vuoi capire se la tua rete è esposta a rischi simili?
Il punto di partenza è quasi sempre un'analisi di rete: da lì si vede se servono test invasivi. Ogni richiesta viene valutata caso per caso.
Richiedi informazioni Vai a Efesto