Policlinico Triestino riparte il 14 settembre dopo il ransomware

Policlinico Triestino S.p.A. riporta alla piena operatività le sue strutture in Friuli Venezia Giulia dopo l’attacco informatico del 31 agosto 2026. La data indicata dalla società è lunedì 14 settembre: da quel giorno riprendono, con orari e modalità ordinarie, anche laboratorio di analisi e diagnostica per immagini, i due servizi che avevano richiesto interventi tecnici più complessi perché più integrati con i sistemi informativi. Il sito è tornato accessibile e consente di consultare e scaricare i referti relativi alle prestazioni effettuate fino al 31 agosto 2026; per quelli non disponibili online resta previsto il ritiro diretto nelle sedi.

La ricostruzione dell’incidente, però, non si chiude con il ripristino dei servizi. Sul tavolo restano tre fronti distinti: l’indagine tecnica e penale sull’intrusione, la verifica sull’eventuale sottrazione di dati sanitari e la quantificazione dei danni provocati dal blocco operativo. Il Piccolo ha riferito che l’attenzione della Procura di Trieste riguarda anche l’impatto su un soggetto privato che eroga prestazioni in convenzione e quindi partecipa, per una quota della propria attività, al servizio sanitario regionale; lo stesso quotidiano ha indicato come aperto il tema della stima dei danni economici e organizzativi subiti dalle strutture colpite. Secondo il quotidiano triestino, la valutazione non riguarda soltanto i sistemi informatici, ma anche le prestazioni rinviate, le procedure manuali e il lavoro necessario a rimettere in sicurezza l’infrastruttura.

Che cosa è successo il 31 agosto

L’attacco ha colpito nel pomeriggio di lunedì 31 agosto la rete delle sedi del gruppo in Friuli Venezia Giulia. Nelle prime ore la situazione era stata trattata come una grave indisponibilità dei sistemi, poi la natura deliberata dell’evento è stata confermata dalla società e dagli accertamenti successivi. Il blocco ha mandato fuori uso sistemi informativi, telefoni, posta elettronica e sito web, con effetti immediati su prenotazioni, attività amministrative, refertazione e continuità di alcuni servizi clinici. RaiNews Tgr Fvg ha descritto nei giorni successivi un sistema “completamente bloccato”, con computer non utilizzabili e migliaia di pazienti coinvolti dai disservizi.

La conseguenza più visibile è stata il ritorno alla carta. Vito Bonanno, direttore operativo della Casa di Cura Salus, ha spiegato a Rai che il personale stava “scrivendo tutto a mano” e non poteva fare affidamento su strumenti tecnologici. La frase fotografa il punto debole di qualunque struttura sanitaria digitalizzata: quando cartelle, prenotazioni, referti, immagini diagnostiche, centralini e posta elettronica dipendono da ambienti condivisi, un incidente cyber non è più un problema dell’ufficio IT, ma diventa un problema clinico, logistico e organizzativo. Il blocco ha interessato tutte le strutture regionali del gruppo, mentre le realtà presenti fuori dal Friuli Venezia Giulia sono state indicate come non coinvolte.

La direzione del gruppo ha comunicato di avere attivato fin dai primi momenti le procedure previste per la gestione dell’evento e di aver effettuato le segnalazioni a Agenzia per la Cybersicurezza Nazionale, tramite CSIRT Italia, al Garante per la protezione dei dati personali e alla Polizia Postale. Le attività sono state condotte con il supporto delle autorità competenti e del Data Protection Officer del gruppo. Nella prima nota diffusa dalla società, rilanciata da NordestNews e poi ripresa dalla stampa locale, la direzione ha precisato che in quel momento non erano emersi elementi in grado di confermare una sottrazione di dati dei pazienti.

Il percorso di ripristino: cosa è tornato operativo e quando

La ripartenza è stata graduale. Le prestazioni ambulatoriali, sia private sia in convenzione con il Servizio sanitario regionale, sono tornate progressivamente operative nei primi giorni di settembre. La società aveva programmato per lunedì 7 settembre la riapertura delle sale operatorie della Casa di Cura Salus di via Bonaparte, mentre l’attività di ricovero presso la Casa di Cura Pineta del Carso è proseguita senza interruzioni. Più complesso il recupero di radiologia e laboratorio analisi, proprio per il livello di integrazione con le piattaforme informatiche centrali. Il Piccolo ha ricostruito questa fase segnalando la riapertura programmata delle sale operatorie della Salus e la continuità della Pineta del Carso.

Il 10 settembre, il Policlinico ha comunicato un passaggio ulteriore: telefoni e indirizzi email erano di nuovo attivi, le visite ambulatoriali si svolgevano regolarmente, le sale operatorie della Salus erano tornate operative e i punti prelievo erano ripartiti presso la Salus, lo Studio Biomedico di via Gallina a Trieste e lo Studio Biomedico di Monfalcone. Nello stesso aggiornamento, la società ha indicato che l’attività di ricovero e il servizio riabilitativo della Pineta del Carso erano proseguiti, così come i servizi dei poliambulatori Pineta City, Carnia Salus, FriulMedica Codroipo e FriulMedica San Vito. Nel comunicato, la direzione ha attribuito l’episodio a INC Ransom e ha escluso di aver pagato o negoziato un riscatto.

Il passaggio finale, annunciato il 12 settembre, riguarda il gestionale sanitario. La sua riattivazione consente di tornare alla normale gestione delle prestazioni in tutte le sedi e precede la piena ripartenza di laboratorio e diagnostica per immagini del 14 settembre. Il Policlinico ha ringraziato anche MEDarchiver, partner del gestionale sanitario, per il supporto nelle attività di ripristino e riattivazione del sistema: un dettaglio non secondario, perché nei ransomware sanitari la ricostruzione non consiste semplicemente nel “riaccendere” i server, ma nel verificare integrità dei dati, credenziali, log, postazioni, backup, segmentazione della rete e sicurezza delle connessioni tra reparti e servizi. La società ha comunque avvertito che alcune funzionalità del sito potevano non essere ancora disponibili, pur dichiarando regolarmente operativi tutti i servizi presso le strutture.

Le strutture coinvolte e il peso del gruppo nella sanità regionale

Il caso è rilevante anche per la dimensione del soggetto colpito. Policlinico Triestino non è un singolo ambulatorio: gestisce una rete di strutture private accreditate con il sistema sanitario regionale. Sul proprio sito il gruppo elenca, tra le sedi in Friuli Venezia Giulia, le case di cura Salus Trieste e Pineta del Carso Trieste, le strutture di degenza sociosanitarie Igea e Mademar, e strutture ambulatoriali come Pineta City, gli Studi Biomedici TS-GO, Carnia Salus Tolmezzo e FriulMedica UD-PN. La pagina istituzionale definisce queste realtà come strutture sanitarie private accreditate con il S.S.R. operanti nell’area di Trieste e nel resto della regione.

La dimensione economica aiuta a capire perché l’incidente sia stato seguito anche sul piano giudiziario e regolatorio. TriestePrima, citando dati camerali, ha indicato per il gruppo oltre 400 dipendenti, un fatturato superiore a 54 milioni di euro e un utile netto di 4,3 milioni. Lo stesso articolo ricordava l’accordo con ASUGI del novembre 2025 e il fatto che la società eroga ricoveri, specialistica ambulatoriale e diagnostica strumentale anche in regime convenzionato. In altre parole, l’attacco non ha toccato soltanto un’infrastruttura aziendale privata: ha inciso su un nodo della capacità sanitaria disponibile per cittadini e pazienti del territorio.

INC Ransom: dall’ipotesi alla rivendicazione attribuita

Nei primi giorni l’attribuzione era prudente. RaiNews segnalava il 3 settembre che il nome del Policlinico era comparso nel leak site di INC Ransom, ma parlava ancora di rivendicazione da verificare. Gli investigatori dovevano analizzare il malware, stabilire il punto di ingresso, capire per quanto tempo gli attaccanti fossero rimasti nella rete e verificare se, oltre al blocco dei sistemi, fosse avvenuta anche una sottrazione di informazioni. La denuncia formale del Policlinico è partita in quella fase, con indagini definite complesse.

Il quadro si è consolidato nei giorni successivi. Il Policlinico, nel comunicato del 10 settembre, ha scritto che l’episodio è riconducibile al gruppo ransomware INC Ransom. RaiNews, in un successivo approfondimento, ha parlato di “certezza” sull’attribuzione e ha ricordato che la società ha escluso sia il pagamento del riscatto sia l’avvio di trattative. Secondo RaiNews, INC Ransom è attivo dal 2023, viene indicato da autorità internazionali come basato in Russia e opera con una rete di affiliati, quindi con soggetti diversi che possono condurre materialmente gli attacchi usando infrastrutture e strumenti messi a disposizione dal gruppo.

La spiegazione tecnica più utile arriva dal modello di business criminale. Australian Cyber Security Centre, CERT Tonga e National Cyber Security Centre della Nuova Zelanda hanno pubblicato il 6 marzo 2026 un advisory congiunto su INC Ransom: il gruppo opera come Ransomware-as-a-Service, cioè fornisce ransomware, portali di pagamento e siti di fuga dati agli affiliati, mentre questi ultimi si occupano dell’intrusione e della distribuzione del malware. L’advisory descrive anche la doppia estorsione: furto di dati sensibili, cifratura dei file e minaccia di pubblicazione sul data leak site per spingere la vittima a pagare.

Questo modello spiega perché l’attribuzione a un gruppo non equivalga automaticamente all’identificazione delle singole persone che hanno colpito Trieste. TriestePrima ha parlato di un servizio criminale acquistabile sul dark web e di un’infezione progressiva della rete, citando anche la possibilità di propagazione attraverso protocolli usati da periferiche come le stampanti. È un dettaglio compatibile con molte campagne ransomware moderne: una volta ottenuto un primo accesso, l’obiettivo non è fermarsi alla singola macchina, ma muoversi lateralmente, elevare privilegi, raggiungere file server, sistemi gestionali e backup, e massimizzare la pressione sulla vittima prima della richiesta di riscatto.

Il nodo più delicato: i dati sanitari

La società ha ripetuto che, nelle verifiche iniziali, non erano emersi elementi tali da confermare la sottrazione di dati dei pazienti. È una formulazione prudente, non una chiusura definitiva dell’analisi forense. Nei ransomware a doppia estorsione la disponibilità dei sistemi e la riservatezza dei dati sono due problemi separati: si può avere un blocco operativo senza esfiltrazione, un’esfiltrazione senza cifratura estesa o entrambe le cose. Per questo l’indagine sui log, sui movimenti laterali e sui volumi eventualmente trasferiti verso l’esterno richiede tempo. Il Piccolo ha riportato già il 3 settembre che, al momento, si poteva escludere la conferma di una sottrazione dell’enorme mole di informazioni sensibili, ma la stessa ricostruzione richiamava gli accertamenti ancora in corso.

Il fatto che siano stati coinvolti Garante Privacy, CSIRT Italia e Polizia Postale è coerente con la natura dell’evento. Il Garante ricorda che un titolare del trattamento deve notificare una violazione di dati personali senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne viene a conoscenza, salvo che sia improbabile un rischio per diritti e libertà delle persone fisiche. La regola sui data breach è particolarmente rilevante per la sanità, dove cartelle cliniche, referti, dati anagrafici, informazioni su patologie, terapie e prestazioni hanno un valore criminale e un impatto personale molto più elevato di molte altre categorie di dati.

Per i pazienti, la distinzione pratica è questa: il ripristino del sito e dei servizi non significa automaticamente che l’analisi sui dati sia terminata. Chi ha effettuato prestazioni entro il 31 agosto può usare il portale per i referti disponibili, ma dovrebbe evitare canali non ufficiali, diffidare di email o telefonate che chiedano copie di documenti o pagamenti urgenti e attendere eventuali comunicazioni dirette della struttura se le verifiche dovessero cambiare il quadro. È una precauzione ordinaria dopo incidenti di questo tipo, non la prova che i dati siano stati rubati.

Perché la sanità resta il bersaglio più esposto

La vicenda triestina si inserisce in una pressione più ampia contro ospedali, cliniche, laboratori e fornitori sanitari. ACN ha scritto nel proprio report sulla minaccia cyber al settore sanitario che, nel periodo gennaio 2023 - settembre 2025, si sono verificati in media 4,3 attacchi informatici al mese contro strutture sanitarie. Nei primi nove mesi del 2025, gli eventi cyber censiti dal CSIRT Italia nel comparto sono saliti a 60 contro i 42 dello stesso periodo del 2024, mentre gli incidenti con impatto effettivo sono scesi a 23 rispetto ai 47 dell’anno precedente, anche perché il dato 2024 era stato alterato da un singolo attacco di tipo supply chain capace di generare molti incidenti. Il rapporto ACN indica inoltre che circa metà degli attacchi può produrre impatti reali sui servizi o sulla riservatezza.

Sanità italiana: eventi e incidenti cyberValori in casi

Eventi cyberIncidenti

• Gen-set 20244247
• Gen-set 20256023

Il ransomware resta la minaccia più dannosa perché colpisce il punto che una struttura sanitaria può permettersi meno di perdere: la continuità. Un ospedale, una casa di cura o un laboratorio non possono semplicemente sospendere per giorni la capacità di prenotare, consultare esami, inviare referti, accedere a immagini diagnostiche o coordinare sale operatorie. È per questo che i gruppi estorsivi puntano spesso alla sanità: non necessariamente perché sia sempre il settore tecnicamente più vulnerabile, ma perché il costo di un’interruzione è immediato, pubblico e politicamente sensibile.

Il ruolo della NIS2 e gli obblighi per le strutture sanitarie

Il caso apre anche il capitolo NIS2. La nuova normativa italiana sulla Network and Information Security, recepita con il decreto legislativo 4 settembre 2024, n. 138, è in vigore dal 16 ottobre 2024 e attribuisce ad ACN il ruolo di autorità competente e punto di contatto unico. La pagina istituzionale dell’Agenzia spiega che il perimetro è stato ampliato a 18 settori, con soggetti “essenziali” e “importanti”. La sanità rientra tra i settori altamente critici, e questo significa che governance della sicurezza, gestione del rischio, continuità operativa, rapporti con i fornitori ICT e notifica degli incidenti non sono più temi solo tecnici, ma responsabilità organizzative.

Per gli operatori rientranti nel perimetro, l’articolo 25 del decreto NIS prevede la notifica al CSIRT Italia degli incidenti con impatto significativo. La sequenza include una pre-notifica entro 24 ore dalla conoscenza dell’incidente significativo e una notifica più completa entro 72 ore, con valutazione iniziale di gravità e impatto e, se disponibili, indicatori di compromissione. Le FAQ ACN chiariscono che dopo la pre-notifica i soggetti NIS devono trasmettere allo CSIRT la notifica completa senza ingiustificato ritardo e comunque non oltre le 72 ore.

Il punto non è burocratico. Nel ransomware, le prime ore decidono la qualità dell’indagine e la velocità del ripristino: preservare i log, isolare segmenti di rete, revocare credenziali compromesse, verificare backup offline, impedire nuove esfiltrazioni e coordinare comunicazioni verso pazienti, autorità e partner. Se una struttura ha procedure provate solo sulla carta, l’emergenza la costringe a improvvisare. Se invece ha runbook, ruoli, fornitori contrattualizzati, copie di sicurezza testate e canali alternativi per prenotazioni e referti, può contenere il danno pur subendo l’attacco.

Che cosa resta da chiarire

La prima domanda aperta riguarda il punto di ingresso. Le fonti pubbliche non indicano ancora se l’accesso iniziale sia avvenuto tramite credenziali compromesse, vulnerabilità esposte su sistemi perimetrali, phishing, accesso remoto o un fornitore. L’advisory internazionale su INC Ransom segnala che gli affiliati del gruppo usano spesso credenziali compromesse o vulnerabilità pubbliche esposte verso Internet, ma questo non consente di trasferire automaticamente quel modello al caso triestino senza conferme forensi. Il documento tecnico descrive tecniche ricorrenti del gruppo, non la catena d’attacco specifica contro Policlinico Triestino.

La seconda domanda riguarda i dati. L’assenza, finora, di elementi pubblicamente confermati sulla sottrazione di informazioni dei pazienti è una notizia importante, ma non esaurisce il tema. La comparsa del nome del Policlinico su un sito di rivendicazione, la natura stessa di INC Ransom e la menzione di una richiesta di riscatto nelle ricostruzioni locali impongono una verifica completa: quali sistemi sono stati raggiunti, quali archivi erano accessibili, se esistono tracce di compressione o trasferimento di dati, quali credenziali sono state usate e se i backup erano rimasti integri e isolati.

La terza domanda riguarda i costi. Nel conto finale rientrano ore di personale sanitario e amministrativo, consulenze di incident response, eventuale sostituzione o reinstallazione di server e postazioni, rafforzamento della sicurezza, mancati ricavi da prestazioni rinviate, recupero dell’arretrato, comunicazioni ai pazienti, gestione legale e reputazionale. Se la Procura dovesse qualificare l’impatto anche in relazione a servizi di interesse pubblico erogati in convenzione, la stima dei danni assumerebbe un peso ulteriore nel procedimento.

Le conseguenze pratiche per aziende sanitarie e fornitori ICT

Per la sanità italiana, il caso Trieste segnala una priorità precisa: la resilienza operativa va progettata insieme alla cybersicurezza. Non basta proteggere il dato se, durante l’attacco, l’organizzazione perde telefoni, email, sito, prenotazioni e gestionali contemporaneamente. Le strutture sanitarie dovrebbero avere canali alternativi già testati per contattare pazienti, sale operatorie e laboratori; copie leggibili dei piani di emergenza; procedure manuali sostenibili per più giorni; ambienti separati per diagnostica, amministrazione e servizi web; backup immutabili e periodicamente ripristinati in prova.

Il tema riguarda anche i fornitori. La NIS2 allarga l’attenzione alla supply chain: software gestionali, sistemi di refertazione, archiviazione immagini, posta, centralini, reti, dispositivi medici connessi e assistenza remota sono parte della superficie d’attacco. Un contratto ICT sanitario non può più limitarsi a disponibilità e prezzo: deve disciplinare logging, tempi di intervento, responsabilità in caso di incidente, segregazione degli ambienti, aggiornamenti, autenticazione multifattore, gestione degli account privilegiati, copie di sicurezza e collaborazione con CSIRT e autorità.

Per i pazienti, la conseguenza più concreta è l’esigenza di comunicazioni chiare. Sapere quali prestazioni sono confermate, quali referti sono disponibili online, quali vanno ritirati in sede e quali appuntamenti sono da riprogrammare riduce il carico sui centralini e il rischio di truffe successive. La scelta del Policlinico di pubblicare aggiornamenti progressivi ha aiutato a ricostruire la ripartenza; il passaggio successivo dovrà riguardare, quando gli accertamenti saranno completi, l’esito definitivo delle verifiche sui dati e le misure adottate per evitare che un singolo incidente possa fermare di nuovo così tanti servizi insieme.

Io vedo in questa vicenda un segnale molto serio, ma anche un’occasione concreta per fare un salto di qualità. Il ritorno alla piena operatività in due settimane, senza pagamento del riscatto e con il coinvolgimento delle autorità competenti, indica che una risposta organizzata è possibile anche quando l’attacco colpisce servizi essenziali. Il punto, adesso, è trasformare l’emergenza in metodo.

La sanità digitale non può arretrare: referti online, diagnostica integrata, prenotazioni e gestionali sono indispensabili per ridurre tempi e complessità. Proprio per questo devono essere progettati con logiche di compartimentazione, backup realmente recuperabili e procedure alternative pronte. La tecnologia migliore non è quella che promette invulnerabilità, ma quella che permette a medici, infermieri e pazienti di continuare a lavorare e curarsi anche quando qualcosa va storto.

Per il Friuli Venezia Giulia e per l’Italia, casi come questo dovrebbero spingere verso investimenti più coordinati tra strutture sanitarie, fornitori ICT, Regione, ACN e Polizia Postale. Non servono soltanto nuovi strumenti: servono esercitazioni, audit sui fornitori, formazione del personale e una cultura manageriale che consideri la cybersicurezza una parte della qualità delle cure. Se questa lezione verrà raccolta, l’attacco al Policlinico Triestino potrà diventare un precedente utile, non solo una ferita da archiviare.