Data Breach Synlab Italia
Data Breach SYNLAB Italia s.r.l.
Aggiornamento del 07/07/2024 Pazienti
Gentile Utente,
la nostra struttura ha ricevuto ufficiale conferma del fatto che, l’attacco informatico malevolo che ha “infettato” i sistemi informativi di SYNLAB Italia s.r.l. (Laboratorio nostro fornitore per alcune analisi), ha interessato altresì informazioni personali di alcuni nostri pazienti.
Chi è stato coinvolto nell’attacco?
SYNLAB Italia sr.l. ha ufficialmente confermato che sono stati sottratte generalità e informazioni personali (generalità, referti di laboratorio e di anatomia patologica) con coinvolgimento approssimativo di 29 pazienti. Tuttavia a causa dei volumi interessati dall’attacco e delle complessità operative emerse in fase di analisi, al momento non è possibile valutare la posizione di ciascun interessato. Nel rispetto della normativa in materia di protezione dei dati personal, abbiamo ritenuto opportuno pubblicare la presente comunicazione.
I dati oggetto attacco sono stati perduti?
I dati coinvolti nell’attacco non sono andati perduti e il nostro fornitore SYNLAB Italia s.r.l. sta lavorando al recupero dei i dati esfiltrati (copiati) utilizzando anche copie di backup (ossia le copie dei dati eseguite per fronteggiare casi come questo).
Quali notizie ha ricevuto la nostra struttura dell’attacco informatico subito da SYNALB Italia s.r.l.?
Inizialmente non abbiamo avuto conferma del diretto coinvolgimento dei dati dei nostri pazienti affidati al Laboratorio SYNLAB Italia s.r.l. In aprile ci era stato comunicato che SYNLAB Italia s.r.l. aveva subito la sottrazione illecita (c.d. esfiltrazione) di dati, da parte di una organizzazione cybercriminale di matrice russa denominata “Black Basta”.
Avevamo avuto notizia che i cyber-criminali avevano chiesto un riscatto e non avendo ricevuto alcunché da SYNLAB Italia s.r.l., avevano provveduto a diffondere i dati sottratti in una parte di internet nascosta e non accessibile attraverso i tradizionali sistemi di navigazione online (cd. dark web). Sapevamo inoltre che SYNLAB Italia s.r.l. aveva prontamente denunciato l’accaduto alle autorità competenti (Polizia Postale, Procura della Repubblica e Autorità Garante per la protezione dei dati personali) con le quali collaborava per fornire ogni informazione utile (monitorando, ad esempio, le aree del dark web dove erano ubicati i dati personali rubati e segnalando tempestivamente i siti di cui i criminali si erano avvalsi per la pubblicazione affinché fossero oscurati dalla Procura della Repubblica).
Solo da ultimo abbiamo avuto ufficiale conferma che anche alcuni nostri pazienti erano stati coinvolti nell’attacco.
Come si è attivata la nostra struttura?
Appresa la notizia dell’attacco informatico, subìto da SYNLAB Italia s.r.l., abbiamo attivato una Unità di crisi e, di concerto con il laboratorio fornitore, migliorato le misure di sicurezza relative alla comunicazione di campioni, referti e dati personali.
Venuti a conoscenza del coinvolgimento di dati personali dei nostri pazienti affidati a SYNLAB Italia s.r.l., abbiamo tentato al nostro interno di individuare i pazienti coinvolti anche richiedendo la collaborazione di SYNLAB Italia sr.l.. Tuttavia a tutt’oggi non è stato possibile individuare l’identità dei pazienti interessati.
Sarà nostra cura continuare l'analisi in corso, onde raccogliere informazioni più precise in merito ai soggetti interessati e ai dati rimasti coinvolti nell'attacco per garantirvi un adeguato supporto.
Continueremo ad investigare anche collaborando con il Laboratorio SYNLAB Italia s.r.l., impegnato in una fase di download in sicurezza dei file grazie ad un’azienda altamente specializzata, per assicurare che ogni singolo file recuperato sia sicuro ed effettivamente riconducibile alla nostra organizzazione.
Posso collegarmi sul dark web e cercare il mio eventuale coinvolgimento e recuperare autonomamente i dati?
Unitamente a SYNLAB Italia s.r.l. sconsigliamo fortemente di cercare se i vostri dati sono pubblicati sul dark web. Navigare su tali pagine comporta alti rischi di infezioni da malware (software malevoli che possono compromettere il vostro dispositivo e tutti i dati contenuti al suo interno). Inoltre, non vi è alcuna garanzia di sicurezza di quanto pubblicato da una organizzazione cybercriminale: i file pubblicati potrebbero infatti contenere a loro volta ulteriori malware. Infine, l’accesso a dati pubblicati sul dark web può comportare il download di materiale illecito (condotta che, nei casi previsti dalla legge, può costituire reato).
Come posso informarmi sui pericoli che corro online e offline?
I dati personali esfiltrati e pubblicati sul dark web, possono essere, seppur illecitamente, consultati, prelevati e ulteriormente diffusi da terzi, anche ai fini di tentativi di furto d'identità, o altri tentativi di frode o utilizzi illeciti. I tentativi di frode che potrebbero derivarne possono essere diversi ma l’obiettivo solitamente è quello di utilizzare i dati personali per estorcere denaro e/o esfiltrare ulteriori informazioni tramite l’invio di e-mail, messaggi o telefonate contenenti false richieste apparentemente provenienti da amici/familiari oppure tentando di accedere agli account riconducibili alla vittima.
Vi invitiamo a prendere visione delle pagine di SYNLAB dedicate all’attacco informatico e delle seguenti pagine informative dell’Autorità Garante per la Protezione dei dati personali:
PHISHING
https://www.garanteprivacy.it/temi/cybersecurity/phishing
VISHING
https://www.garanteprivacy.it/temi/cybersecurity/vishing
SMISHING
https://www.garanteprivacy.it/temi/cybersecurity/phishing
SIM SWAPPING
https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9572143
Come posso proteggermi attivamente?
È molto importante prestare attenzione e valutare l’attendibilità di chi vi richiede tramite e-mail, SMS, messaggio o telefonata codici di accesso o ulteriori dati personali (anche se tali richieste riguardassero la conferma della modifica delle Vostre credenziali). Nessun Istituto bancario e, più in generale, nessun fornitore di servizi, richiede mai codici di accesso o password tramite e-mail, SMS o telefonate.
È cruciale esaminare sempre attentamente i contenuti di e-mail, SMS, messaggi evitando di aprire collegamenti ipertestuali (link) o allegati che potrebbero indirizzarvi verso siti web dannosi o farvi scaricare software malevoli, sostituire ciclicamente le password dei propri account (e-mail, social network, forum etc. …) e attivare l’autenticazione multifattoriale che ne rafforzano la protezione. I principali fornitori di servizi online offrono questa possibilità e per attivarla normalmente è sufficiente accedere alle impostazioni di sicurezza del proprio account.
Si suggerisce di informare i propri amici e familiari della possibile violazione, suggerendo loro di porre attenzione al rischio di ricevere false richieste che paiono pervenire da voi. E in caso di sospetto di furto di identità raccomandiamo di contattare le Autorità di Polizia.
Ho ricevuto una comunicazione da noreply@synlab.it oppure da shfy@synlab.com sono indirizzi sicuri?
Si, noreply@synlab.it è un indirizzo mail da cui SYNLAB ha inviato e-mail tramite provider esterno non coinvolto dall’attacco cybercriminale; shfy@synlab.com (l’acronimo SHFY significa SYNLAB Health For You) è la divisione del gruppo SYNLAB che gestisce la piattaforma digitale: si tratta di un indirizzo e-mail sicuro e non compromesso dall'attacco cybercriminale.
Chi posso contattare per avere ulteriori informazioni?
Per le Vostre richieste relative all’attacco informatico, Vi segnaliamo il nostro indirizzo urp@policlinicoudine.it (Ufficio Relazioni con il Pubblico) e l’indirizzo dedicato del fornitore SYNLAB Italia s.r.l. di cui si è dotato comunicazione@synlab.it
Per ogni altra questione relativa al trattamento dei dati tra cui le richieste di esercizio dei diritti, ricordiamo che la Responsabile Protezione dei Dati (DPO) della nostra struttura può essere contattata all’indirizzo dpo@ogriseg.legal
Certi del vostro supporto nell’utilizzare i canali corretti di comunicazione che ci aiuteranno a centralizzare le richieste ed essere più efficienti, Vi confermiamo il nostro massimo impegno nella gestione delle richieste pervenute su altri canali di comunicazione.
