Advanced multata di £3M per un cyberattacco che ha esposto i dati di 79.000 pazienti del NHS

Un importante fornitore di software NHS è stato multato per 3,07 milioni di sterline per non aver implementato adeguate misure di sicurezza prima di un attacco ransomware nel 2022 che ha esposto i dati personali di 79.000 persone, come confermato dal regolatore della protezione dei dati del Regno Unito (ICO).

Il gruppo Advanced Computer Software Ltd (Advanced) ha ricevuto una penalità dall’ICO per aver violato le normative sulla protezione dei dati a causa della mancanza di una completa implementazione dell’autenticazione multi-fattore (MFA) nei suoi sistemi.

Gli aggressori hanno approfittato di questa debolezza di sicurezza per irrompere nella filiale sanitaria e assistenziale dell’azienda e rubare dati sensibili, mentre interrompevano i servizi NHS 111, come osservato dall’ICO.

John Edwards, che ricopre il ruolo di Commissario per l’Informazione del Regno Unito, ha espresso il suo disappunto riguardo alle debolezze di sicurezza riscontrate nelle operazioni della filiale di Advanced.

“Sebbene Advanced avesse installato l’autenticazione multifattore su molti dei suoi sistemi, la mancanza di una copertura completa significava che gli hacker avrebbero potuto ottenere accesso, mettendo a rischio le informazioni personali sensibili di migliaia di persone”, ha dichiarato come riportato da ICO

“Le persone non dovrebbero mai dover pensare due volte se i loro referti medici sono in mani sicure. Per utilizzare i servizi con fiducia, devono essere in grado di fidarsi che ogni organizzazione che entra in contatto con le loro informazioni personali – che si tratti di utilizzarle, condividerle o conservarle per conto di altri – sta rispettando i suoi obblighi legali per proteggerle”, ha aggiunto.

Il gruppo di ransomware LockBit ha effettuato un attacco che ha causato estesi disservizi in tutta la rete. I lavoratori sanitari hanno perso la possibilità di accedere ai registri dei pazienti, mentre i dettagli di accesso domestico di 890 persone che ricevono assistenza domiciliare sono stati esposti a parti non autorizzate, come riportato dalla BBC.

L’ICO aveva inizialmente fissato la multa a £6.09 milioni prima di ridurla grazie alla cooperazione di Advanced con le forze dell’ordine e gli enti di sicurezza informatica come il National Cyber Security Centre (NCSC) e l’agenzia nazionale contro la criminalità (NCA).

L’azienda ha accettato la decisione dell’ICO senza contestazioni e ha scelto di non presentare un ricorso.