SickKids, possibile furto di dati personali dopo un attacco a un’applicazione di terzi

L’incidente ha colpito il portale per le candidature

Il 21 agosto 2026 il Hospital for Sick Children di Toronto, il principale ospedale pediatrico canadese, ha comunicato un nuovo incidente di cybersecurity con possibile sottrazione di dati personali.

L’attacco sarebbe collegato a un’applicazione software gestita da un fornitore terzo. Per un periodo, l’evento ha reso indisponibile il sito utilizzato per le candidature lavorative. SickKids ha quindi avviato un’indagine per chiarire l’ampiezza dell’accesso e stabilire quali informazioni possano essere state acquisite.

L’ospedale non ha indicato quando sia avvenuto l’attacco. Non sono stati resi noti il nome dell’applicazione coinvolta, il fornitore responsabile, la tecnica utilizzata dagli aggressori o la durata dell’eventuale esposizione.

Le persone potenzialmente interessate appartengono a più gruppi:

• dipendenti attuali;
• ex dipendenti;
• candidati a posizioni lavorative;
• lavoratori di organizzazioni collegate;
• personale della SickKids Foundation.

SickKids non ha precisato quali categorie di dati siano state effettivamente esfiltrate. Al momento, dunque, non è possibile stabilire se l’incidente riguardi soltanto informazioni amministrative o anche dati più sensibili legati ai rapporti di lavoro.

Sistemi clinici e dati dei pazienti non risultano coinvolti

Secondo la comunicazione dell’ospedale, l’incidente non ha interessato i sistemi clinici né le informazioni sui pazienti. Questo limita l’impatto diretto sull’assistenza sanitaria e distingue l’evento da un attacco capace di interrompere diagnosi, terapie o attività di reparto.

La possibile esposizione riguarda invece persone che hanno o hanno avuto un rapporto professionale con SickKids e con organizzazioni collegate. Per dipendenti ed ex dipendenti, i dati disponibili in un’applicazione per il recruiting o per la gestione del personale potrebbero includere informazioni identificative, contatti o dettagli relativi alla candidatura. Tuttavia, queste categorie non sono state confermate dall’ospedale.

Anche per i candidati non è noto se siano stati coinvolti tutti gli utenti del portale o soltanto un sottoinsieme. L’indagine dovrà chiarire quali account, record e funzioni dell’applicazione siano stati accessibili.

L’assenza di dati clinici non elimina i rischi per gli interessati. Informazioni professionali e personali possono essere utilizzate per costruire messaggi di phishing credibili, impersonare l’organizzazione, tentare frodi mirate o facilitare il furto d’identità.

Due anni di monitoraggio del credito per le persone coinvolte

SickKids ha dichiarato di avere informato direttamente le persone potenzialmente interessate. Agli individui coinvolti è stato inoltre offerto un servizio di monitoraggio del credito per due anni.

Il monitoraggio può aiutare a individuare richieste di credito, aperture di conti o variazioni anomale associate all’identità della vittima. Non impedisce però l’uso fraudolento dei dati e non sostituisce la prudenza nelle comunicazioni ricevute.

Chi riceve l’avviso dovrebbe verificare che i contatti provengano realmente dall’ospedale o dal soggetto incaricato dell’assistenza. È consigliabile non fornire password, codici di autenticazione o documenti attraverso link arrivati via email o SMS senza una verifica indipendente.

Occorre inoltre prestare attenzione a messaggi che citano candidature, benefit, buste paga, assicurazioni o procedure interne. In caso di sospetta frode, è opportuno contattare direttamente l’istituto finanziario e utilizzare i canali ufficiali per segnalare l’episodio.

Non sono stati pubblicati indicatori di compromissione, come domini, indirizzi email, file malevoli o hash. Non è quindi possibile definire una lista tecnica di elementi da cercare sui dispositivi degli utenti.

Un precedente ransomware aveva già paralizzato parte dell’ospedale

Il nuovo incidente si aggiunge a un precedente attacco ransomware subito da SickKids nel 2022. Quell’operazione aveva reso indisponibili alcuni sistemi e il ripristino aveva richiesto settimane.

Tra le componenti colpite figuravano:

• i sistemi della farmacia;
• i risultati della diagnostica per immagini;
• gli strumenti interni per registrare le ore lavorate dal personale.

L’attacco era stato associato all’operazione LockBit. In seguito, il gruppo aveva dichiarato di essersi scusato con l’ospedale, di avere fornito gratuitamente un decryptor e di avere espulso l’affiliato responsabile dell’azione.

Il precedente mostra una differenza sostanziale rispetto all’evento attuale. Nel 2022 l’effetto principale era stato operativo, con l’indisponibilità di sistemi utilizzati dall’ospedale. Nel caso più recente, l’impatto noto riguarda invece un’applicazione di terzi e il possibile accesso a dati di lavoratori e candidati.

Nonostante ciò, i due episodi hanno un elemento comune: la dipendenza di un’organizzazione sanitaria da sistemi non necessariamente clinici. Un portale per le assunzioni può non gestire direttamente le cure, ma la sua compromissione può esporre informazioni utili per attacchi successivi.

Altri casi recenti aumentano la pressione sul settore sanitario

SickKids è una delle organizzazioni sanitarie che hanno annunciato una violazione nella stessa settimana.

Baylor Genetics ha riferito che una fuga di dati avvenuta a giugno comprendeva informazioni relative a test medici, risultati di laboratorio, assicurazione sanitaria e numeri di Social Security. Si tratta di categorie potenzialmente utilizzabili per frodi finanziarie e furti d’identità.

CareCloud, che fornisce sistemi per le cartelle cliniche elettroniche, ha invece dichiarato che un incidente verificatosi a marzo ha coinvolto 3,7 milioni di persone.

I casi hanno caratteristiche diverse per dimensione e tipologia di dati, ma evidenziano lo stesso problema: la superficie d’attacco sanitaria comprende fornitori, piattaforme amministrative, servizi cloud e applicazioni rivolte al personale, oltre ai sistemi ospedalieri tradizionali.

Per il caso SickKids non sono state indicate CVE, vulnerabilità specifiche o dettagli tecnici che permettano di attribuire l’incidente a una falla conosciuta. Non è stata inoltre indicata una presenza nel catalogo Known Exploited Vulnerabilities (KEV) della CISA, né esistono quindi una data di inserimento o una scadenza di remediation da riportare.

L’indagine dovrà stabilire se l’accesso sia derivato da una vulnerabilità dell’applicazione, da credenziali compromesse, da un errore di configurazione o da un’altra tecnica. Fino a quando SickKids e il fornitore non pubblicheranno ulteriori elementi, il perimetro della compromissione resta limitato alle informazioni già comunicate: possibile sottrazione di dati personali, indisponibilità temporanea del portale di recruiting e nessuna evidenza resa pubblica di accesso ai sistemi clinici o ai dati dei pazienti.