Il contesto delle minacce che le organizzazioni sanitarie e i relativi Managed Service Provider (MSP) stanno affrontando nel 2026 sta diventando sempre più pericoloso.
Le aziende e i service provider del settore sono bersagli sempre più ambiti per gli attaccanti. Il perimetro di attacco delle organizzazioni sanitarie si sta rapidamente espandendo oltre le minacce interne, coinvolgendo le terze parti, in particolare gli MSP.
Allo stesso tempo, gli attaccanti stanno intensificando i tentativi di violazione, aumentando il rischio di esposizione normativa per le organizzazioni sanitarie e per gli MSP che forniscono loro servizi. I numeri confermano l’aumento del rischio. Secondo la società di ricerca Comparitech, gli attacchi ransomware contro le aziende del settore sanitario sono cresciuti del 35% nel primo trimestre del 2026 rispetto al quarto trimestre del 2025.
Il Verizon Data Breach Investigations Report 2026 (DBIR) ha rilevato un incremento del 60% delle violazioni con il coinvolgimento di terze parti, inclusi i service provider, rispetto al report 2025. BakerHostetler, nel Data Security Incident Response Report 2026, ha inoltre segnalato che i vendor terzi sono stati responsabili del 25% di tutti gli incidenti di cybersecurity.
Con minacce in costante aumento per numero e gravità, gli MSP attivi nel settore sanitario devono predisporre i propri piani di rischio attorno a cinque minacce principali: attacchi alla supply chain rivolti alle infrastrutture MSP, campagne ransomware-as-a-service contro la sanità, sfruttamento dei dispositivi Internet of Medical Things (IoMT), furto di credenziali tramite social engineering e minacce interne.
Indice degli argomenti
In che modo gli attacchi alla supply chain prendono di mira l’infrastruttura degli MSP
Nel 2025, uno dei cambiamenti più rilevanti per la cybersecurity nel settore sanitario è stato il crescente interesse degli attaccanti verso gli MSP, non più solo verso le singole organizzazioni sanitarie.
Compromettendo un provider, gli attaccanti possono infatti sfruttare strumenti di monitoraggio e gestione da remoto, come le piattaforme RMM (Remote Monitoring & Management), per muoversi tra più ambienti cliente, distribuire ransomware ed esfiltrare dati.
Il rischio principale è che una singola vulnerabilità o lacuna operativa trasformi uno strumento affidabile in un canale di veicolazione degli attacchi verso tutti i clienti serviti dal medesimo MSP. Per questo, la protezione degli strumenti RMM, PSA (Professional Services Automation) e di accesso remoto diventa una priorità assoluta.
La mitigazione richiede un approccio architetturale: separare l’ambiente dell’MSP da quello dei clienti, segmentare i piani di gestione, proteggere le credenziali per ciascun cliente, applicare strumenti MFA (Multifactor Authentication) a prova di phishing su tutti gli accessi remoti e mantenere costantemente aggiornati tutti gli strumenti utilizzati.
Quali gruppi ransomware-as-a-service stanno prendendo di mira il settore sanitario?
Nel 2025, il settore sanitario è stato tra i più colpiti dal ransomware. Secondo Comparitech, nei primi tre trimestri dell’anno sono stati registrati 293 attacchi contro provider sanitari e 130 contro aziende del settore, inclusi vendor, società di billing e fornitori tecnologici, con un aumento del 30% anno su anno per queste ultime.
A spingere il volume degli attacchi è soprattutto il modello ransomware-as-a-service. Dopo la scomparsa del leak site di RansomHub nell’aprile 2025, molti affiliati si sono spostati verso Qilin, che ha registrato una forte crescita delle rivendicazioni. Tra il primo trimestre e il terzo del 2025, le varianti ransomware più attive contro la sanità sono state Qilin, INC Ransom, RansomHub, SafePay e Medusa.
Per gli MSP, il requisito chiave non è solo ripristinare i sistemi, ma garantire un recovery privo di malware. Ripristinare un backup apparentemente pulito, ma che contiene ancora il payload originario, rischia infatti di riattivare l’attacco.
Acronis Safe Recovery analizza ogni immagine di backup alla ricerca di malware e vulnerabilità prima di consentirne il ripristino nella rete di produzione, riducendo così il rischio di reinfezione che le soluzioni basate solo sul backup possono lasciare aperto.
Per gli MSP che gestiscono attività di ransomware recovery per clienti del settore sanitario, questo può fare la differenza tra un ripristino rapido e un ciclo di reinfezione molto più lungo e complesso. Le funzionalità di endpoint detection and response (EDR) ed extended detection and response (XDR) di Acronis aggiungono inoltre un ulteriore livello di protezione al backup, permettendo di rilevare movimenti laterali sugli endpoint gestiti, correlare attività sospette tra diversi ambienti cliente e individuare le fasi di preparazione di un attacco ransomware prima che inizi la cifratura.
Quali tattiche di furto delle credenziali e social engineering prendono di mira il settore sanitario?
Le credenziali sono ormai il nuovo perimetro di attacco per il settore sanitario. Secondo il Verizon 2026 DBIR, l’abuso di credenziali è rimasto il principale vettore iniziale di attacco, presente nel 36% delle violazioni. Anche il report IBM sul costo dei data breach 2025 evidenzia il peso del phishing, seguito da compromissioni di vendor e supply chain e dall’uso di credenziali rubate.
Nel 2025, diverse campagne hanno mostrato quanto il rischio sia concreto. Raccoon0365, un’operazione di phishing-as-a-service mirata alla raccolta di credenziali Microsoft 365, ha sottratto circa 5.000 credenziali in 94 Paesi e compromesso almeno 20 ospedali americani prima di essere smantellata da Microsoft con il supporto di Health-ISAC.
Anche le campagne di vishing contro gli help desk sono diventate una minaccia rilevante: gli attaccanti si fingono dipendenti, spesso dell’area finance, e chiedono il reset o la riattivazione dell’MFA su dispositivi sotto il loro controllo, utilizzando informazioni personali autentiche per risultare credibili.
A questo si aggiungono gli attacchi di MFA fatigue, in cui la vittima viene bombardata da richieste di autenticazione fino ad approvarne una per errore o sfinimento. Per gli MSP, il punto centrale è che l’help desk è ormai una superficie di attacco primaria. La verifica dell’identità per reset password e modifiche MFA non può più basarsi su semplici domande conoscitive.
Per gli account privilegiati, soprattutto quelli che accedono ad ambienti sanitari, la MFA basata su notifiche push non è più sufficiente: FIDO2 o hardware tokens dovrebbero rappresentare lo standard minimo. Anche la sicurezza email resta decisiva per intercettare campagne di phishing prima che possano raccogliere credenziali valide.
La rilevanza delle minacce interne
Le minacce interne restano uno dei rischi più sottovalutati nella cybersecurity sanitaria. Secondo il Verizon DBIR 2026, quasi il 20% delle violazioni confermate nel settore sanitario ha coinvolto attori interni, mentre il Ponemon Institute’ 2026 Cost of Risks Global Report stima per sanità e farmaceutico un costo medio annualizzato di 28,8 milioni di dollari legato agli insider breach. Nella maggior parte dei casi, però, non si tratta di azioni malevole, ma di errori o comportamenti negligenti.
Il settore sanitario è infatti tra i più colpiti dagli errori dei dipendenti, come accessi impropri alle cartelle cliniche, invio accidentale di dati via email o condivisione informale delle credenziali tra personale clinico. Per gli MSP, questo significa che la protezione non può limitarsi al perimetro esterno.
Le soluzioni di data loss prevention (DLP) diventano parte integrante dello stack di sicurezza sanitario: Acronis DLP, disponibile come add-on, monitora il movimento dei PHI attraverso endpoint ed email, aiutando a intercettare incidenti causati da negligenza prima che diventino violazioni soggette a notifica. Anche l’analisi comportamentale è essenziale, mentre la formazione annuale deve essere considerata solo un punto di partenza.
Come gli MSP dovrebbero definire le priorità del proprio piano di difesa per il settore sanitario nel 2026?
Nel breve periodo, gli MSP dovrebbero partire dalla propria infrastruttura: aggiornare strumenti RMM, PSA e di accesso remoto, applicare MFA a prova di phishing a tutti gli account con accesso agli ambienti cliente e introdurre verifiche dell’identità per l’help desk non basate solo su domande conoscitive.
Nel trimestre successivo, la priorità è adottare un recovery consapevole del rischio malware, evitando di ripristinare backup che contengono ancora l’infezione originaria. Acronis Safe Recovery aiuta a chiudere questa lacuna, mentre EDR e XDR rafforzano il rilevamento sugli endpoint clinici, anche dove le performance locali sono un vincolo. Nel corso del 2026, gli MSP dovrebbero rafforzare la segmentazione attorno ai dispositivi IoMT, implementare soluzioni DLP per i clienti che gestiscono grandi volumi di dati sanitari protetti e rendere continua la formazione sulla sicurezza.
Il filo conduttore resta lo stesso: maggiore visibilità sulla superficie di attacco e capacità di ripristinare i sistemi in modo pulito quando la prevenzione non basta.
Partecipa alla community