Lo spoofing telefonico ha aiutato gli intrusi a violare i server di Astrana Health

Gli aggressori si sono spacciati per dipendenti dell’azienda

Astrana Health ha reso noto di aver subito un attacco informatico: gli intrusi hanno usato l’impersonificazione telefonica e tecniche di ingegneria sociale per accedere ai server dell’azienda.

La società californiana, che si occupa di gestione sanitaria, ha dichiarato che l’incidente ha coinvolto la sua controllata Astrana Health Management. Gli aggressori si sono spacciati per personale di Astrana e hanno falsificato il numero di telefono principale dell’azienda, facendo apparire le chiamate come provenienti da una fonte fidata.

La campagna di ingegneria sociale ha infine permesso di accedere ai server senza autorizzazione. Dall’indagine di Astrana è emerso che alcune informazioni private e riservate potrebbero essere state consultate, acquisite o rimosse dai sistemi aziendali.

Non sono state rese note né la data dell’intrusione né la durata della permanenza degli aggressori nell’ambiente. Astrana non ha inoltre specificato quanti dipendenti abbiano ricevuto chiamate fraudolente o quali sistemi interni siano stati compromessi inizialmente.

Non è stato identificato alcun responsabile dell’attacco. Al 24 settembre 2026, nessun gruppo noto per attività di ransomware o estorsione aveva rivendicato pubblicamente la responsabilità.

L’indagine sui dati esposti è ancora in corso

Astrana sta ancora valutando la natura e la quantità delle informazioni coinvolte. L’azienda sta verificando se i sistemi compromessi contenessero cartelle cliniche, dati dei dipendenti, informazioni sui professionisti sanitari accreditati, documenti aziendali o finanziari riservati, proprietà intellettuale o altri file sensibili.

L’elenco descrive le categorie oggetto di verifica, non i tipi di dati di cui sia stata confermata la sottrazione. Non si conoscono né il numero delle persone coinvolte né i documenti specifici ottenuti dagli aggressori.

Anche le notizie diffuse finora lasciano qualche dubbio su quanto sia stato accertato dagli investigatori. SecurityWeek ha riferito che le informazioni sono state consultate ed esfiltrate, mentre la comunicazione di Astrana agli enti regolatori è stata più cauta: secondo l’azienda, alcuni dati privati o riservati potrebbero essere stati consultati o acquisiti senza autorizzazione.

La distinzione è importante. L’accesso non autorizzato significa che gli aggressori hanno potuto visualizzare o usare i dati; l’acquisizione o l’esfiltrazione indica invece che ne hanno copiato una parte al di fuori dell’ambiente aziendale. Astrana non ha fornito prove tecniche pubbliche che chiariscano quali file siano usciti dalla rete, quanti dati siano stati trasferiti o dove siano stati inviati.

Non sono stati divulgati neppure indicatori di compromissione, come domini malevoli, hash di file, indirizzi IP di origine o account controllati dagli aggressori. Clienti e partner non possono quindi confrontare i propri dati di telemetria con indicatori specifici dell’incidente.

Un numero di telefono fidato è entrato nella catena dell’attacco

L’incidente mostra come la falsificazione dell’ID chiamante possa vanificare le normali procedure di verifica. Un dipendente che riceve una chiamata con il numero principale dell’azienda sul display potrebbe essere più propenso a fidarsi dell’identità dell’interlocutore, soprattutto se questi conosce nomi, terminologia o procedure interne e usa pretesti legati alle attività aziendali.

Astrana non ha descritto le richieste precise fatte durante le telefonate. Non è noto se i dipendenti abbiano rivelato password, approvato richieste di autenticazione, modificato le impostazioni degli account, installato software o concesso l’accesso in altro modo.

L’azienda non ha identificato neppure la tecnologia di accesso remoto coinvolta. Non sono disponibili informazioni pubbliche per stabilire se gli aggressori abbiano aggirato l’autenticazione a più fattori, sfruttato una vulnerabilità software, usato credenziali valide o convinto i dipendenti ad autorizzare uno strumento di amministrazione legittimo.

La sequenza generale, tuttavia, è nota: l’impersonificazione e la falsificazione del numero telefonico hanno preceduto le attività di ingegneria sociale, che hanno poi consentito l’accesso ai server aziendali. Le informazioni disponibili non permettono di attribuire la violazione a un difetto di prodotto o a una specifica famiglia di malware.

Non è confermato neppure l’uso di ransomware. Astrana non ha chiarito pubblicamente se i sistemi siano stati cifrati e, al momento della diffusione della notizia, nessun gruppo di hacker aveva rivendicato l’attacco. L’assenza di una rivendicazione pubblica non permette di stabilire le motivazioni degli aggressori, ma al momento non ci sono elementi per definire l’incidente un attacco ransomware.

Astrana ha ruotato le credenziali e ripristinato i sistemi

Dopo aver rilevato l’intrusione, Astrana ha incaricato una società esterna specializzata in cybersecurity e avviato un’indagine. Per contenere l’incidente e ripristinare i sistemi, ha ruotato le credenziali e limitato l’uso degli strumenti di accesso remoto.

L’azienda ha inoltre ripristinato alcuni sistemi da backup puliti. Questa misura può rimuovere le modifiche non autorizzate o riportare l’infrastruttura coinvolta a uno stato noto, ma Astrana non ha specificato quali sistemi abbiano richiesto il ripristino né se alcuni servizi siano stati temporaneamente indisponibili.

Tra le altre misure difensive figurano il potenziamento delle attività di monitoraggio, registrazione e rilevamento. Questi controlli possono aiutare gli investigatori a ricostruire le attività degli aggressori e a individuare eventuali meccanismi di persistenza o credenziali riutilizzate sfuggiti alle prime operazioni di contenimento.

Astrana ha informato le forze dell’ordine e le altre autorità competenti, compresi gli enti regolatori statali e federali. Ha avvisato anche partner e clienti, ma non ha reso noto quante organizzazioni abbiano ricevuto una notifica né se siano stati contattati singoli pazienti e dipendenti.

Le organizzazioni che collaborano con Astrana dovrebbero trattare con cautela le chiamate inattese di assistenza o amministrazione, anche quando sul display compare un numero aziendale noto. Le richieste di credenziali, approvazioni di autenticazione, software per l’accesso remoto o modifiche agli account andrebbero verificate tramite un canale di contatto separato e reperito in modo indipendente.

Le indicazioni per le persone potenzialmente coinvolte sono meno precise, perché le categorie di dati esposti non sono ancora note. È consigliabile prestare attenzione alle comunicazioni ufficiali di Astrana o dei suoi fornitori affiliati e fare attenzione ai tentativi di phishing che citano servizi sanitari, documenti di lavoro, fatturazione o credenziali di professionisti sanitari.

Un rischio rilevante, ma senza conseguenze economiche definite

Astrana ha classificato l’incidente come rilevante perché i sistemi potrebbero aver contenuto informazioni sensibili e riservate. Tuttavia, le possibili conseguenze per l’azienda non sono state descritte in modo uniforme.

Secondo una versione, Astrana non si aspettava ripercussioni sulla propria situazione finanziaria o sulle attività operative. The Record ha riferito di avvertimenti più ampi, che menzionavano possibili effetti sulla strategia aziendale, sulle attività, sulle finanze, sui professionisti sanitari, sui pazienti, sulle controparti e sulla reputazione dell’azienda.

Le due posizioni non sono necessariamente in contraddizione. Un’azienda può considerare rilevante un rischio informatico e, allo stesso tempo, prevedere che le conseguenze immediate sul piano operativo e finanziario siano gestibili. La valutazione definitiva potrebbe cambiare quando le analisi forensi chiariranno quali informazioni sono state sottratte e se i costi di notifica, contenzioso, ripristino o adeguamento normativo aumenteranno.

L’assicurazione informatica potrebbe coprire alcune spese legate all’incidente, ma non è noto se la polizza sarà sufficiente a compensare tutte le perdite. La copertura può dipendere dai costi sostenuti, dai massimali, dalle esclusioni e dai risultati finali dell’indagine.

La portata potenziale è significativa. La piattaforma tecnologica di Astrana per le attività operative serve circa 20.000 professionisti sanitari e, nel trimestre precedente, l’azienda ha registrato ricavi per 972,5 milioni di dollari. Questi dati non indicano quanti professionisti siano stati coinvolti, ma danno un’idea delle dimensioni dell’ambiente oggetto di indagine.

Le organizzazioni sanitarie continuano a subire esposizioni di dati

Astrana fornisce servizi gestionali e amministrativi rivolti ai medici, comprese le attività di gestione delle richieste di rimborso e fatturazione. Le aziende che operano in questo ambito possono detenere contemporaneamente dati appartenenti a più categorie: pazienti, dipendenti, medici, partner commerciali e operatori sanitari.

La comunicazione di Astrana arriva dopo una serie di incidenti informatici segnalati nel settore sanitario. Nei sei mesi precedenti, Veradigm aveva reso noto una violazione che coinvolgeva numeri di Social Security; anche Nutex, AnMed, Aesto, Baylor Genetics, CareCloud, Paylogix e Boston Scientific avevano segnalato attacchi informatici.

Per Astrana, la questione centrale ancora aperta riguarda i dati. Finché l’azienda non avrà completato la valutazione, resteranno ignoti il numero delle persone coinvolte, le informazioni precise interessate, l’identità degli aggressori e l’eventuale ruolo di estorsioni o ransomware.