LulzSec sottrae dati all'Ospedale San Raffaele di Milano e minaccia di pubblicarli in chiaro

I dati dell'ospedale San Raffaele di Milano sono a rischio. Oggi, 21 maggio, gli hacker di LulzSec (da non confondere con la sezione italiana di Anonymous) hanno postato un tweet allegando alcuni screenshot che dovrebbero dimostrare come il gruppo sia riuscito a superare le difese dell'ospedale già a marzo.

Potrebbe sembrare uno dei tanti annunci per vantarsi delle scorribande, ma LulzSec più che criticare le scarse difese dei sistema, sembra più interessata a far scoppiare una polemica: perché l'ospedale non ha ancora avvisato le autorità e contattato le persone interessate dal data breach? Il GDPR, infatti, impone che questo avvenga entro 72 ore dalla scoperta del'attacco.

LulzSec sfida il San Raffaele e minaccia di pubblicare in chiaro i dati di utenti e dipendenti

Poche ore dopo l'annuncio, sul canale Twitter di LulzSecITA sono stati pubblicati altri tweet sull'argomento, contenenti ulteriori prove dell'attacco e, soprattutto, minacce. 

Per dimostrare che hanno stanno facendo sul serio, e che hanno veramente in mano queste informazioni, gli hacker hanno anche pubblicato le credenziali di accesso del virologo Roberto Burioni, che lavora per l'ospedale e che mostra di non avere grandi competenze informatiche: la sua password è il tipico esempio di chiave di accesso da NON usare mai. 

Da parte del San Raffaele, non è arrivata ancora alcuna risposta e nemmeno Burioni, solitamente molto attivo sui social, Twitter in particolare, ha commentato l'accaduto.

Perché questo data breach è grave?

Non è il primo attacco a una struttura sanitaria, né sarà l'ultimo, ma l'aspetto più importante di questa vicenda è che gli attaccanti non sembrano motivati da ragioni economiche. L'obiettivo di LulzSec è quello di mettere in evidenza una questione diversa: l'immobilità del San Raffaele che, a mesi dalla violazione, non ha ancora avvisato chi di dovere, nonostante sia obbligata a farlo dalle leggi comunitarie. Un punto che viene sottolineato anche dall'esperto di sicurezza informatica Umberto Rapetto su Infosec. 

Naturalmente, potrebbe anche trattarsi di un fake: non possiamo escludere a priori che LulzSec stia bluffando e in realtà non abbia in mano nulla. Così come non è da escludere che, se l'attacco è stato portato avanti con successo, i responsabili informatici dell'ospedale abbiano scoperto la violazione solo oggi, quando gli autori sono venuto allo scoperto.