Ransomware negli Studi Dentistici e Medici: Come Proteggere Davvero i Dati dei Pazienti

Perché gli studi dentistici e medici sono diventati un bersaglio

Non è più unicamente un problema da grande ospedale. Negli ultimi anni la stampa di settore e i rapporti sulla sicurezza informatica segnalano un interesse crescente dei gruppi criminali verso studi dentistici, poliambulatori e piccole strutture sanitarie private: hanno dati sanitari di valore sul mercato nero, dipendono dall'informatica per far funzionare agenda e cartella clinica quanto una grande struttura, ma investono in difesa molto meno di una grande struttura.

Secondo il Rapporto Clusit 2026, gli incidenti informatici gravi censiti in Italia nel 2025 sono stati 507, in crescita del 42% rispetto all'anno precedente, con un impatto che colpisce sempre più spesso aziende manifatturiere, studi professionali e cliniche private accanto alle grandi organizzazioni. Il denominatore comune delle vittime, secondo le analisi disponibili, non è la dimensione economica ma il rapporto tra dipendenza dall'IT e investimento in sicurezza: esattamente il profilo di molti studi sanitari.

Cosa succede davvero quando un ransomware colpisce lo studio

Un attacco ransomware cifra i file presenti sui computer e sui server raggiungibili dalla rete infetta, rendendoli illeggibili, e chiede un pagamento (il riscatto) per fornire la chiave di decifratura. Per uno studio, questo si traduce concretamente in:

• impossibilità di accedere all'agenda: la reception non sa più chi ha appuntamento, a che ora, con quale medico;
• cartelle cliniche, radiografie e piani di cura bloccati o cancellati, con il rischio di doverli ricostruire a memoria o, nei casi peggiori, di perderli;
• fatturazione e contabilità ferme, con conseguenze anche sugli adempimenti fiscali correnti;
• un possibile obbligo di notifica come violazione di dati personali (data breach), se sono coinvolti dati sanitari dei pazienti: il GDPR impone in questi casi una valutazione tempestiva e, quando dovuta, una notifica al Garante entro 72 ore.

Rapporti di settore segnalano tempi di ripristino che, in casi documentati su strutture sanitarie, hanno superato le due settimane: un'agenda ferma per giorni non è solo un disagio, è fatturato che non si recupera e pazienti che, nel frattempo, cercano un altro studio.

Conviene pagare il riscatto?

La posizione condivisa dalle autorità e dagli enti di cybersicurezza è di non pagare, per almeno tre motivi: non c'è alcuna garanzia che la chiave fornita funzioni davvero o che i dati non vengano comunque diffusi, il pagamento finanzia direttamente l'attività criminale, e uno studio che paga una volta segnala di essere un bersaglio disposto a farlo, esponendosi a nuovi attacchi in futuro. La prevenzione, e in particolare un backup che funzioni davvero, restano l'unica difesa realmente affidabile.

Perché "avere un backup" spesso non basta

Il punto più frainteso in assoluto è che quasi tutti gli studi colpiti avevano, in qualche forma, un backup. Il problema è che nella maggior parte dei casi quel backup era raggiungibile dalla stessa rete infetta: un NAS o un hard disk esterno sempre collegato e sempre acceso viene cifrato dal ransomware esattamente come i file originali, nello stesso attacco.

Il criterio di riferimento nel settore è la regola 3-2-1:

1. almeno 3 copie complessive dei dati (l'originale più due copie);
2. su 2 supporti diversi (per esempio disco locale e cloud, non due dischi identici collegati allo stesso PC);
3. con almeno 1 copia offsite, cioè fisicamente o logicamente separata dalla rete dello studio, così che un attacco alla rete locale non possa raggiungerla.

A queste tre regole se ne aggiunge una quarta, meno citata ma altrettanto importante: un backup va testato. Un backup che non è mai stato ripristinato per prova è una promessa non verificata: si scopre se funziona davvero solo nel momento peggiore possibile, cioè durante un incidente reale.

La sicurezza informatica dello studio si gioca prima dell'attacco: aggiornamenti, accessi e backup separati dalla rete locale

Checklist pratica: le difese che riducono davvero il rischio

• aggiornamenti automatici di sistema operativo, antivirus e gestionale, senza rimandarli "a quando c'è tempo";
• autenticazione a due fattori su email, accessi remoti e servizi cloud usati dallo studio;
• formazione, anche breve, del personale sul riconoscimento delle email di phishing: resta il principale punto di ingresso degli attacchi;
• accessi da remoto (RDP e simili) protetti, aggiornati e, quando possibile, evitati se non strettamente necessari;
• separazione tra la rete dei dispositivi clinici/gestionali e quella eventualmente offerta ai pazienti (es. Wi-Fi di cortesia in sala d'attesa);
• un backup che rispetti la regola 3-2-1 e che venga ripristinato per prova almeno una volta, non solo eseguito.

Come funziona con I-Med

Essendo I-Med una piattaforma cloud SaaS, i dati dello studio - agenda, cartelle cliniche, fatturazione - non risiedono su un server o un NAS fisico all'interno dello studio, raggiungibile dagli stessi PC che un'email di phishing potrebbe compromettere. Il backup è automatico, ridondato su più provider italiani e gestito centralmente dal fornitore, così come gli aggiornamenti e le patch di sicurezza, distribuiti a tutti gli utenti senza dipendere dall'intervento manuale del singolo studio.

Conclusione

Il ransomware non è più un rischio da "grande organizzazione": colpisce sempre più spesso studi dentistici e poliambulatori, proprio perché ne dipendono in pieno ma li difendono meno. La differenza tra un incidente gestibile e uno studio fermo per due settimane si gioca prima dell'attacco: aggiornamenti fatti per abitudine, autenticazione a due fattori, personale formato a riconoscere un'email sospetta, e soprattutto un backup che segua davvero la regola 3-2-1 e che qualcuno abbia effettivamente provato a ripristinare almeno una volta.

Domande Frequenti