Azienda Ospedaliera di Alessandria: intrusione nella rete e minaccia di vendita dei dati da parte del gruppo Ragnar Locker
Nella notte tra il 19 e il 20 dicembre 2022 molti computer della rete dell'Azienda Ospedaliera di Alessandria hanno mostrato il messaggio di un gruppo di estorsori informatici, Ragnar Locker. L'azienda ha spiegato i fatti sul proprio sito e in un articolo firmato dal direttore del servizio informatico; due anni dopo il Garante per la protezione dei dati personali ha sanzionato l'ente. Qui trovi i fatti, le fonti e ciò che non si sa. Il caso risale a quasi quattro anni fa.
Caso concluso il 5 novembre 2026 Concluso Le informazioni vengono da fonti pubbliche, elencate in fondo alla pagina; BoNet™ non ha informazioni dirette sull'incidente. Non ci sono novità da oltre otto mesi: non aggiorniamo più la scheda, che resta consultabile nell'archivio.
Il quadro completo dell'evento
Nella notte tra il 19 e il 20 dicembre 2022 molti computer dell'Azienda Ospedaliera di Alessandria hanno mostrato il messaggio del gruppo Ragnar Locker, che affermava di aver copiato quasi un terabyte di dati e minacciava di venderli se non fosse stato contattato entro tre giorni. Secondo l'azienda sono state violate le cartelle condivise della rete, non i programmi sanitari e amministrativi, e i servizi non si sono interrotti; l'azienda non esclude che dati sanitari salvati nelle cartelle condivise siano stati sottratti.
L'azienda ha spiegato i fatti sul proprio sito il 23 gennaio 2023 e ha fatto analisi con l'ACN. Nel dicembre 2024 Punto Informatico ha riportato una sanzione di 25.000 euro del Garante per la protezione dei dati personali, per carenze come l'assenza di autenticazione a più fattori sulla VPN e di separazione tra le reti. Restano non noti l'entità reale dei dati sottratti, se siano stati pubblicati o venduti e se i sistemi siano stati cifrati: le fonti non concordano.
Non essendoci novità da oltre otto mesi dall'ultimo sviluppo della notizia, concludiamo l'aggiornamento di questo caso. La scheda resta consultabile, completa di fatti e fonti, nell'archivio dell'osservatorio.
Data di inizio dell'evento: notte tra il 19 e il 20 dicembre 2022 · Ultimo controllo delle fonti: 5 novembre 2026
- Scheda creata sulla base di quattro fonti: la pagina dell'azienda (23 gennaio 2023), un articolo firmato dal suo direttore informatico (Agenda Digitale, 10 maggio 2023), un articolo di Il Piccolo con le dichiarazioni dell'assessore regionale (1 febbraio 2023) e un articolo di Punto Informatico sulla sanzione del Garante (24 dicembre 2024). Il provvedimento del Garante non è stato letto direttamente. La scheda sarà ricontrollata ogni settimana.
Tre cose da sapere
Che cosa è successo
Gli aggressori sono entrati nella rete dell'azienda, hanno copiato documenti dalle cartelle condivise e hanno lasciato un messaggio con la minaccia di vendere i dati se non fossero stati contattati entro tre giorni.
Che cosa dicono azienda e Regione
L'azienda dice che i programmi sanitari e amministrativi non sono stati violati e che i servizi non si sono fermati; l'assessore regionale alla Sanità ha detto lo stesso in risposta a un'interrogazione. L'azienda non esclude che dati sanitari salvati nelle cartelle condivise siano stati sottratti.
Che cosa è successo dopo
Nel dicembre 2024 Punto Informatico ha riportato una sanzione di 25.000 euro dal Garante privacy: tra le carenze indicate, mancava l'autenticazione a più fattori sulla VPN e le reti non erano separate.
I fatti, con le fonti
Ogni riga indica da dove viene l'informazione e quanto è solida. «Dichiarato» significa detto da un'azienda o da un'autorità; «riportato» significa scritto dalla stampa; «rivendicato» è ciò che dicono gli aggressori; «stima» e «ipotesi» dicono da soli quanto fidarsi. I numeri tra parentesi rimandano alle fonti in fondo alla pagina.
| Fatto | Stato | Fonti |
|---|---|---|
| L'azienda ha dichiarato sul proprio sito, il 23 gennaio 2023, di aver subito a dicembre 2022 un attacco ransomware attribuito al gruppo Ragnar Locker, e che il gruppo, pur compromettendo l'infrastruttura, non ha cifrato i sistemi, anche se la nota di riscatto diceva il contrario. | Dichiarato | [1] |
| Secondo l'articolo firmato dal direttore del servizio informatico dell'azienda, nella notte tra il 19 e il 20 dicembre 2022, indicativamente tra le 23:04 e le 00:15, molti computer della rete hanno mostrato un messaggio di rivendicazione. | Dichiarato | [2] |
| Nel messaggio il gruppo affermava di aver scaricato materiale per quasi un terabyte, chiedeva di essere contattato entro tre giorni tramite una chat anonima e minacciava di vendere i dati a terzi; scriveva anche di aver evitato di cifrare i dati. La cifra è del gruppo e non è verificata. | Rivendicato | [2] |
| L'azienda dichiara che sono state violate le cartelle condivise della rete (file server), non i database dei programmi sanitari e amministrativi del data center, dove si trovano i dati clinici. | Dichiarato | [1] [2] |
| Sul sito l'azienda non esclude che dati sanitari salvati impropriamente nelle cartelle condivise siano stati sottratti; l'articolo firmato dal direttore del servizio informatico dà per certa la sottrazione di documenti di quel tipo (referti, esami, immagini diagnostiche). | Dichiarato | [1] [2] |
| L'assessore regionale alla Sanità, rispondendo a un'interrogazione (articolo del 1 febbraio 2023), ha dichiarato che i programmi aziendali non sono stati violati e che l'azienda non ha dovuto interrompere né le attività sanitarie né quelle amministrative. | Dichiarato | [3] |
| L'azienda ritiene probabile (si presume) che l'ingresso sia avvenuto tramite una vulnerabilità del firewall di confine e un utente di servizio con privilegi di amministratore. | Ipotesi | [1] [2] |
| Secondo l'azienda, il produttore del firewall aveva comunicato la correzione il 6 ottobre 2022; l'azienda ne ha avuto notizia il 30 novembre e l'ha installata il 6 dicembre 2022. | Dichiarato | [2] |
| Dopo l'attacco l'azienda ha limitato gli accessi a Internet, ridotto i privilegi degli amministratori, introdotto l'autenticazione a più fattori per gli accessi remoti e fatto analisi con l'ACN e il CSIRT Italia; il gruppo di analisi dell'ACN ha operato presso l'azienda dal 2 gennaio 2023. | Dichiarato | [1] [2] |
| Nel dicembre 2024 Punto Informatico ha riportato che il Garante per la protezione dei dati personali ha sanzionato l'azienda con 25.000 euro per violazione del GDPR (il regolamento europeo sulla privacy): tra i motivi, mancanza di misure per rilevare tempestivamente la violazione, software non aggiornati su alcuni sistemi, assenza di autenticazione a più fattori per la VPN e di separazione tra le reti. | Riportato dalla stampa | [4] |
| Secondo lo stesso articolo, i dati sottratti riguardavano pazienti, dipendenti e consulenti. | Riportato dalla stampa | [4] |
- Quanti dati siano stati sottratti e di quante persone: la cifra di quasi un terabyte è solo del gruppo; l'azienda e le fonti non danno numeri verificati.
- Se il gruppo abbia pubblicato o venduto i dati: nelle fonti consultate non è indicato.
- Se i sistemi siano stati cifrati: l'azienda e il gruppo dicono di no, mentre l'articolo del dicembre 2024 sul provvedimento del Garante parla di ransomware installato dopo aver disattivato l'antivirus.
- L'importo del riscatto: il messaggio chiedeva solo di essere contattati, senza cifre.
- La data esatta: l'articolo dell'azienda nomina sia il 19 sia il 29 dicembre 2022; nei dettagli descrive la notte tra il 19 e il 20.
- La data del provvedimento del Garante: l'articolo che lo riporta non la indica.
Considerazioni generali, valide per qualunque organizzazione: non sono conclusioni sull'azienda colpita.
- Le cartelle condivise di rete contengono spesso documenti sensibili, come referti ed esami salvati a mano: sfuggono alle protezioni dei programmi sanitari. Conviene sapere che cosa c'è nei file server e limitare chi ci può accedere.
- Un firewall con una falla nota va aggiornato in fretta: secondo l'azienda la correzione era disponibile dal 6 ottobre e fu installata il 6 dicembre 2022. Anche gli accessi remoti vanno protetti con l'autenticazione a più fattori.
- Anche senza cifrare i file il danno c'è: copiare i dati basta per ricattare. Per questo contano il rilevamento tempestivo e la separazione delle reti.
Da dove vengono le informazioni
| N. | Fonte | Titolo | Data | Che cosa abbiamo usato |
|---|---|---|---|---|
| [1] | Azienda Ospedaliera di Alessandria | Attacco hacker | 23 gennaio 2023 | Comunicazione ufficiale dell'azienda: tipo di attacco, gruppo, dati, misure adottate. |
| [2] | Agenda Digitale | PA nel mirino degli hacker: il caso emblematico dell'ospedale di Alessandria | 10 maggio 2023 | Cronologia e messaggio degli aggressori, secondo il direttore del servizio informatico dell'azienda (autore dell'articolo). |
| [3] | Il Piccolo | Ss. Antonio e Biagio, gli hacker non hanno violato i software di processi sanitari | 1 febbraio 2023 | Dichiarazioni dell'assessore regionale alla Sanità: programmi non violati, servizi non interrotti. |
| [4] | Punto Informatico | Azienda ospedaliera: sanzione per data breach | 24 dicembre 2024 | Sanzione del Garante privacy di 25.000 euro e motivazioni riportate. |
Testi riassunti e riscritti con parole nostre. Se trovi un errore o una novità segnalacelo e correggeremo la scheda.
- Frigoriferi dei supermercati: nuova ondata di attacchi in Belgio, Svezia, Estonia, Italia e altri Paesi europei · notte tra l'1 e il 2 novembre 2026
- Binance: incidente di sicurezza, prelievi sospesi e un impatto stimato di 6,3 miliardi di dollari · 29 ottobre 2026
- Cisco ASA e FTD: nuova falla della VPN SSL che riavvia il firewall, già sfruttata · 28 ottobre 2026
Vuoi capire se la tua rete è esposta a rischi simili?
Il punto di partenza è quasi sempre un'analisi di rete: da lì si vede se servono test invasivi. Ogni richiesta viene valutata caso per caso.
Richiedi informazioni Vai a Efesto