Un attacco informatico ai server di Unlimited Technology Systems ha compromesso i dati personali e sanitari di oltre 3,8 milioni di persone, coinvolgendo pazienti di migliaia di strutture specialistiche negli Stati Uniti
Unlimited Technology Systems, azienda statunitense specializzata in soluzioni software per la gestione finanziaria e amministrativa di cliniche e fornitori sanitari, ha confermato una grave violazione dei dati che ha interessato 3.803.750 persone. L’incidente, avvenuto tra il 5 e il 10 ottobre 2025, è stato reso noto solo dopo mesi di indagini e notifiche alle autorità competenti.
La società, che serve oltre 4.500 cliniche e 6.500 fornitori di servizi sanitari negli Stati Uniti e gestisce ogni anno più di 70 miliardi di dollari in transazioni sanitarie, ha rilevato attività sospette nei propri data center commerciali il 19 ottobre 2025. L’indagine, condotta con il supporto di una società forense specializzata in cybersecurity, ha accertato che un attore non autorizzato ha avuto accesso a file contenenti informazioni personali e sanitarie di pazienti per un periodo di cinque giorni.
Tipologia di dati compromessi e rischi per i pazienti
I dati esposti comprendono nomi completi, numeri di previdenza sociale, date di nascita, indirizzi email e postali, numeri di telefono, informazioni demografiche, scansioni di documenti d’identità, carte assicurative, moduli di accettazione, numeri di polizza sanitaria, dettagli su sinistri e benefici, numeri di cartella clinica, date di servizio e informazioni diagnostiche. La varietà e la sensibilità delle informazioni coinvolte aumentano il rischio di furto d’identità e altre forme di abuso, soprattutto considerando che molti pazienti non hanno rapporti diretti con Unlimited Technology Systems e potrebbero non riconoscere la società come responsabile dei loro dati.
Comunicazione, indagini e misure di mitigazione
La notifica ufficiale dell’incidente è stata inviata agli interessati a partire dal 1° luglio 2026, dopo la segnalazione alle autorità e l’analisi tecnica dell’accaduto. Unlimited Technology Systems ha dichiarato di non aver ricevuto rivendicazioni da parte di gruppi ransomware o di estorsione e di non aver identificato i responsabili dell’attacco. Per ridurre i rischi derivanti dalla diffusione dei dati, la società ha offerto servizi di monitoraggio dell’identità tramite Kroll a tutti i soggetti coinvolti.
Implicazioni per la privacy e il settore sanitario
L’incidente mette in evidenza la vulnerabilità delle infrastrutture digitali che gestiscono dati sanitari sensibili su larga scala. In Italia e nell’Unione Europea, la protezione di queste informazioni è regolata dal GDPR, che impone obblighi stringenti in materia di sicurezza e notifica delle violazioni. Sebbene Unlimited Technology Systems operi principalmente negli Stati Uniti, episodi di questa portata sollevano interrogativi anche per le aziende sanitarie italiane che si affidano a fornitori esterni per la gestione dei dati, sottolineando la necessità di valutare attentamente le misure di sicurezza adottate dai partner tecnologici.
La gestione di dati sanitari da parte di fornitori terzi comporta rischi aggiuntivi per la privacy dei pazienti, soprattutto quando questi ultimi non sono consapevoli di quali soggetti trattino le loro informazioni. In caso di violazione, la difficoltà di identificare il responsabile diretto può rallentare le azioni di tutela e aumentare la confusione tra gli utenti. Per chi riceve una notifica di data breach da un soggetto sconosciuto, è fondamentale seguire le istruzioni fornite e attivare tempestivamente i servizi di monitoraggio offerti.
