L’abitudine delle agenzie di cyber security di colpevolizzare le vittime deve finire

In questi ultimi anni, i comunicati stampa e le note inoltrati dalle agenzie che si occupano della comunicazione di aziende di sicurezza informatica, spediscono quotidianamente quello che si può definire un bollettino di guerra digitale. Gli attacchi sono sempre più diffusi e alle volte, anche molto odiosi.

In particolare, Akamai ha commentato l’attacco perpetrato lo scorso 4 giugno dal gruppo russo Qilin ai danni degli ospedali londinesi. Ad essere colpito con i ransomware, il fornitore di servizi di analisi e diagnostica Synnovis, il quale collabora con il Servizio Sanitario Nazionale (NHS) di Londra. I sistemi, divenuti presto inaccessibili, hanno causato ritardi, cancellazione delle visite, degli esami e delle trasfusioni di sangue. Per tale motivo ciò ha avuto un impatto diretto sulle disponibilità delle scorte dei gruppi 0 Positivo e 0 Negativo. La situazione era così grave che la NHS Blood and Transplant (NHSBT) del Regno Unito ha lanciato un appello urgente ai donatori per ricostituire le scorte di questi gruppi sanguigni universali.

Ma a raggelare, le parole di Ciaran Martin, ex-CEO del National Cyber Security Center. Martin ha ipotizzato che “L’obiettivo del gruppo fosse puramente economico, e che i criminali non fossero consapevoli delle gravi conseguenze che il loro attacco avrebbe avuto sui servizi sanitari”. Anziché condannare il gruppo, che avrebbe dovuto comunque aspettarsi pesanti ripercussioni quando vai a colpire una piattaforma che fornisce risorse ad un sistema sanitario, si accusa la vittima di non aver fatto abbastanza per tutelarsi dagli attacchi: “Come dimostrano i recenti attacchi informatici al settore sanitario, le organizzazioni di questo settore devono impegnarsi per sviluppare la loro resilienza informatica” afferma Richard Meeus, Director of Security Technology and Strategy, EMEA “Come dimostrano i recenti attacchi informatici al settore sanitario, le organizzazioni di questo settore devono impegnarsi per sviluppare la loro resilienza informatica” afferma Richard Meeus, Director of Security Technology and Strategy, EMEA, che prosegue: “Le vulnerabilità della supply chain possono essere facilmente sfruttate dai criminali informatici per accedere ai sistemi sanitari e causare interruzioni. Secondo un recente report IDC, l’aumento dell’efficienza operativa e la costruzione di una maggiore sicurezza nei servizi pubblici sono una delle tre principali priorità dei governi europei. Questo si riflette nella nuova normativa EMEA (NIS2 e CRA Act), che sostiene l’uso sicuro e resiliente della tecnologia. Le aziende sanitarie devono assicurarsi di applicare queste norme e politiche per poter godere della fiducia della popolazione e, soprattutto, per proteggersi da un attacco paralizzante”.

Tutto giusto, d’accordo. La comunicazione deve avvenire, è giusto che le agenzie di sicurezza informatica parlino dell’importanza della stessa e si facciano un po’ di pubblicità. Ma un’agenzia di sicurezza informatica che redarguisce dei sistemi che collaborano con la sanità per non aver fatto abbastanza, delegittimando de facto la responsabilità di un gruppo che ha lancia un attacco ransomware, che è ben consapevole di creare danni anche alla vita delle persone, per puri scopi economici, è come dire ad una vittima di furto di non aver chiuso bene casa.