Tre farmacie francesi vittime di attacchi informatici, oltre 400mila persone potenzialmente coinvolte nella sottrazione di dati personali e sanitari e il sospetto che centinaia di altri esercizi siano finiti nel mirino dei pirati informatici. È l’allarme scattato in Francia dopo una serie di intrusioni nei sistemi gestionali delle farmacie, avvenute nell’ultimo fine settimana di ottobre. Secondo quanto riferisce il Quotidien du pharmacien, gli attacchi avrebbero sfruttato software di controllo remoto, strumenti normalmente utilizzati anche dai fornitori di servizi informatici e dagli operatori che gestiscono i pagamenti per conto delle farmacie.
Il primo episodio risale a sabato 31 ottobre, quando una farmacista della Pharmacie de la Cigogne di Strasburgo si è accorta che qualcuno stava utilizzando a distanza il suo computer. La titolare, Danielle Abessara, ha immediatamente interrotto la connessione Internet e avviato le procedure previste dalla normativa. Nella notte successiva, anche il titolare della Pharmacie des Congrès di Digione, Jean-Olivier Mariani, ha scoperto di essere stato vittima di un’intrusione informatica. Il farmacista ha confermato di avere presentato denuncia e provveduto alle notifiche necessarie.
A far emergere la dimensione dell’attacco è stato French Breaches, sito specializzato nel monitoraggio delle fughe di dati, che ha individuato nel dark web informazioni attribuite a tre farmacie: quelle di Strasburgo e Digione e la Grande Pharmacie de Bailly di Parigi. Complessivamente, secondo il sito, sarebbero coinvolti oltre 400mila nominativi o dossier contenenti dati personali, numeri di previdenza sociale e riferimenti alle assicurazioni sanitarie integrative. Informazioni che, se effettivamente sottratte, potrebbero essere utilizzate per furti d’identità e altre frodi.
French Breaches ha inoltre lanciato un avvertimento: secondo le informazioni raccolte, diverse centinaia di altre farmacie francesi potrebbero essere attualmente prese di mira o sottoposte a ricognizioni da parte di soggetti malintenzionati. Una segnalazione che, al momento, non equivale alla conferma di ulteriori violazioni.
A preoccupare le organizzazioni professionali è soprattutto la modalità delle intrusioni. «Gli hacker hanno utilizzato software di accesso remoto», spiega Valérian Ponsinet, presidente della commissione Convenzione e sistemi informativi della Fédération des syndicats pharmaceutiques de France (Fspf). Strumenti di questo tipo sono impiegati anche da alcuni fornitori che operano per le farmacie, tra cui gli organismi che gestiscono il pagamento diretto delle prestazioni da parte delle assicurazioni sanitarie. Il rischio, osserva Ponsinet, è che le credenziali di accesso non siano custodite adeguatamente oppure che siano stati compromessi gli stessi fornitori.
Secondo il rappresentante della Fspf, il traffico di informazioni sui pazienti lascia inoltre supporre che gli aggressori siano riusciti a raggiungere anche i software gestionali delle farmacie. Pierre-Olivier Variot, presidente dell’Union des syndicats de pharmaciens d’officine (Uspo), richiama invece l’attenzione su un’altra criticità: alcuni farmacisti concedono ai fornitori autorizzazioni di accesso remoto permanenti, aumentando così la possibilità di attacchi.
Le indagini dovranno accertare la dinamica delle intrusioni e l’effettiva portata delle sottrazioni. L’allarme si inserisce peraltro in una sequenza di episodi già segnalati nei mesi precedenti dai siti French Breaches e Cyberattaque.org, che avevano individuato offerte di dati attribuiti ad altre realtà della distribuzione farmaceutica francese, tra le quali la Grande Pharmacie des Halles di Lille, le piattaforme Lasante.net e Pharmashopi e la software house Pharmaland.
Sul versante della tutela dei pazienti, la normativa europea sulla protezione dei dati personali impone alle farmacie, come agli altri titolari del trattamento, di notificare all’autorità competente le violazioni che comportano rischi per i diritti degli interessati, possibilmente entro 72 ore dalla scoperta. Nei casi di rischio elevato, devono essere informate anche le persone coinvolte. Lo ricorda la Commission nationale de l’informatique et des libertés (Cnil), il Garante francese della privacy, che raccomanda inoltre di documentare gli incidenti e conservare gli elementi utili alle indagini.
