Cartella clinica elettronica: il furto di dati da parte degli hacker è ancora possibile

Berlino/Hannover. Poco prima del volgere del 2024/25, il clima di pace tra i responsabili della cartella clinica elettronica (ePA) si è bruscamente interrotto: gli hacker del Chaos Computer Club (CCC) hanno dimostrato, alla conferenza annuale del club, come il nuovo sistema digitale potesse essere hackerato, in modo da consentire potenzialmente l'accesso a milioni di cartelle cliniche. Di conseguenza, l'introduzione dell'ePA è stata inizialmente rinviata e circa il cinque percento degli assicurati si è inizialmente opposto al suo utilizzo.

La cartella clinica elettronica (ePA) è stata ufficialmente introdotta e, dal 1° ottobre, è obbligatoria per gli operatori sanitari. Negli ultimi mesi sono stati apportati miglioramenti significativi anche alle misure di sicurezza: Gematik, l'agenzia federale per la medicina digitale, ha implementato diverse migliorie a seguito delle segnalazioni del Chaos Computer Club (CCC). Violare l'ePA è oggi più difficile, ma non impossibile.

Gli esperti IT del CCC criticano in particolare un dettaglio che rende ancora vulnerabile il nuovo strumento. Secondo Gematik, una soluzione è in vista, ma non prima del prossimo anno.

Ci siamo finalmente: la cartella clinica elettronica è già operativa. Ma molti pazienti sono ancora indecisi: come accedere alla cartella? Chi decide chi può vedere cosa? E quanto sono sicuri i dati sensibili?

Per comprendere il problema, è necessario comprendere il funzionamento della cartella clinica elettronica (ePA). Attualmente, chiunque voglia accedere alla cartella clinica di un paziente ha bisogno di una tessera sanitaria e, in secondo luogo, dei dati completi dell'assicurato. Nello specifico: il numero di tessera, il numero di assicurazione sanitaria, l'indirizzo e la data di inizio dell'assicurazione. Gematik ha già affrontato questo problema: la precedente combinazione di numero di tessera e numero di assicurazione sanitaria non è più sufficiente per l'accesso. Inoltre, a seguito delle critiche del Chaos Computer Club (CCC), gli sviluppatori hanno limitato il numero di accessi possibili.

Gli ostacoli per un attacco sono quindi diventati significativamente più elevati, ma non insormontabili. Dati come gli indirizzi potrebbero potenzialmente essere ottenuti tramite fughe di dati , altre informazioni tramite phishing. Alla conferenza annuale del CCC, gli specialisti IT Bianca Kastl e Martin Tschirsich hanno anche dimostrato come hanno ottenuto tessere sanitarie telefonando alle compagnie di assicurazione sanitaria e persino tessere di identificazione dei medici sfruttando una vulnerabilità di sicurezza. Ad aprile, gli hacker hanno poi dimostrato nuovamente come la cartella clinica elettronica (ePA) possa essere attaccata tramite la cosiddetta procedura del certificato sostitutivo. Gematik ha successivamente colmato anche questa lacuna di sicurezza.

Tuttavia, questo non è ancora del tutto soddisfacente per gli hacker: il modo in cui l'agenzia gestisce le vulnerabilità di sicurezza è "chiaramente migliorabile", ha dichiarato Kastl al RedaktionsNetzwerk Deutschland (RND). Per ridurre al minimo il rischio in modo efficace, l'esperto IT vorrebbe che venisse implementata una procedura molto specifica per la cartella clinica elettronica (ePA).

Ogni persona con un'assicurazione sanitaria pubblica può leggere e gestire la propria cartella clinica elettronica sul proprio smartphone. Tuttavia, sono pochissimi quelli che lo fanno davvero. È importante, ad esempio, proteggere i documenti sensibili.

"Attualmente, l'unica cosa richiesta per accedere a una cartella clinica elettronica (ePA) sono numerose informazioni: numeri di tessera, numeri di assicurazione sanitaria, indirizzo e data di inizio della copertura assicurativa", spiega Kastl. "Il problema potrebbe essere risolto leggendo solo i dati autentici e firmati della tessera sanitaria. Ciò consentirebbe una verifica crittografica inequivocabile dell'effettiva lettura di una tessera emessa da una compagnia di assicurazione sanitaria: una tecnologia sicura esiste quindi da tempo, ma non è ancora stata utilizzata per l'ePA".

Secondo Gematik, proprio una procedura di questo tipo è prevista per il prossimo anno, come comunicato dall'agenzia al RND. È prevista una procedura di "Prova di Presenza del Paziente" (PoPP). Alla domanda sulla proposta del CCC per una firma crittografica digitale, l'agenzia ha dichiarato: "Sì, è prevista una procedura di questo tipo con PoPP". Tuttavia, è ancora in fase di sviluppo, quindi non è possibile fornire dettagli.

Tecnicamente, il processo dovrebbe funzionare come segue: il paziente inserisce la propria tessera sanitaria nel dispositivo presso lo studio medico, proprio come in precedenza. Tuttavia, invece di limitarsi a leggere i dati dalla tessera, in background viene eseguito un processo di verifica e risposta. Il servizio PoPP, parte del sistema di sicurezza, genera un numero casuale e lo invia alla tessera sanitaria. La tessera crittografa il numero e invia il risultato. Solo se il numero casuale è stato crittografato correttamente, la tessera è autentica e fisicamente presente. Inizialmente, le autorità non hanno specificato una data di inizio precisa per il 2026.

Fino ad allora, permane almeno un rischio residuo. Gli esperti informatici sottolineano ripetutamente i pericoli che possono derivare da misure di autenticazione inadeguate all'interno della cartella clinica elettronica (ePA). Kastl cita un caso di Singapore: "Nel 2018, sono stati consultati i dati sanitari di 1,5 milioni di persone . L'obiettivo era anche l'elenco dei farmaci del Primo Ministro". Dati di questa delicatezza rendono tali fughe di notizie "un rischio per intere nazioni", perché consentono attacchi ad altre infrastrutture critiche o ai politici, spiega l'esperto.

Kastl cita come ulteriore caso la violazione informatica di Bitmarck, fornitore di servizi IT per le compagnie di assicurazione sanitaria pubbliche e fornitore della cartella clinica elettronica (ePA), avvenuta nel 2023. In questa violazione, sono stati compromessi dati come nomi, date di nascita e il numero univoco di cartella clinica della tessera sanitaria di circa 300.000 clienti online di diverse compagnie di assicurazione sanitaria. All'epoca, gli esperti IT hanno anche individuato misure di autenticazione inadeguate come una delle cause della violazione .

Per i privati, tali attacchi possono avere gravi conseguenze. In Danimarca, un paese con un'infrastruttura molto più digitale, i criminali hanno ottenuto l'accesso alle informazioni più personali di decine di migliaia di pazienti attraverso un consorzio di studi medici, comprese le cartelle cliniche. Allan Frank, specialista in sicurezza informatica presso l'Agenzia danese per la protezione dei dati, ha dichiarato all'epoca all'RND che dati così intimi potevano essere utilizzati per tentativi di ricatto: dopotutto, pochissime delle persone colpite avrebbero voluto che i loro trattamenti diventassero pubblici.

In Germania, la maggior parte dei pazienti apparentemente si sente sufficientemente sicura con la propria cartella clinica elettronica (ePA), nonostante i suoi limiti. Qualche settimana fa, Gematik ha pubblicato dati aggiornati sull'utilizzo. Questi dati hanno mostrato un ulteriore aumento durante le prime quattro settimane, durante le quali studi medici, farmacie e ospedali avrebbero dovuto utilizzare l'ePA per tutti.

Nell'ultima settimana di ottobre sono state registrate 17,4 milioni di richieste di elenchi di farmaci. Nell'ultima settimana di settembre, la cifra era di 12,6 milioni. Anche il numero di cartelle cliniche dei pazienti è in crescita: solo a ottobre sono stati caricati 10,6 milioni di documenti. Il numero totale dall'avvio della cartella clinica elettronica (ePA) è di 37 milioni.

La percentuale di coloro che si sono opposti alla cartella clinica elettronica (ePA) rimane relativamente bassa. Come ha comunicato l'Associazione Nazionale delle Casse Malattie (GKV-Spitzenverband) al notiziario RND, il tasso di obiezione si attesta ancora intorno al cinque percento.