La Charité conferma la fuga di dati dopo l'attacco al webserver
Sono stati sottratti i dati di contatto di collaboratori, studenti e persone esterne. Secondo la clinica l'assistenza ai pazienti prosegue senza limitazioni.
In un attacco informatico contro un webserver della Charité di Berlino sono stati sottratti dati di contatto personali. Sono interessati collaboratori, studenti e persone esterne che si erano rivolte all'ospedale universitario tramite il modulo di contatto, per esempio per fissare un appuntamento. La clinica ha confermato l'incidente il 30 ottobre. Secondo la sua versione, l'assistenza ai pazienti non è stata e non è compromessa.
La Charité ha annunciato di informare individualmente tutte le persone coinvolte. Ha analizzato la causa, ha rafforzato le proprie misure di protezione e mantiene uno stretto scambio con le autorità di vigilanza e inquirenti. Chi sia dietro l'attacco e come l'accesso sia riuscito tecnicamente non emerge da questa comunicazione pubblica.
Un modulo di contatto può contenere più di un indirizzo
La formula «dati di contatto» suona come un danno limitato. In una clinica, però, è rilevante anche il motivo del contatto. Secondo il rapporto di Medinside del 2 novembre, le persone potevano descrivere problemi medici nel campo di testo libero del modulo. Se e quali contenuti di questo tipo siano effettivamente fuoriusciti non viene dettagliato nella sintetica comunicazione pubblica della Charité.
Il media specializzato, citando il «Deutsches Ärzteblatt», indica complessivamente circa 140'000 persone coinvolte: circa 46'000 tra collaboratori e studenti, 1500 contatti per le liste stampa e newsletter e 90'000 utenti del modulo di contatto. La Charité stessa non indica alcun totale nella dichiarazione pubblicata. L'ordine di grandezza arrotondato ripreso dal servizio giornalistico va quindi distinto da un elenco completo e verificabile pubblicamente.
Un'attività di cura indisturbata risponde inoltre a una domanda diversa rispetto alla protezione dei dati personali. La clinica può continuare a curare le pazienti e i pazienti mentre una fuga di dati mette comunque a rischio le persone coinvolte. Dall'affermazione sull'operatività non deriva alcun allarme rientrato per la riservatezza delle informazioni sottratte.
La falla PHP segnalata in precedenza è un altro caso
La Charité distingue esplicitamente l'attacco da una vulnerabilità di sicurezza PHP. A causa di questa falla aveva già messo temporaneamente offline la propria website in via precauzionale la settimana precedente. Non sussiste alcun legame con la fuga di dati ora confermata, spiega la clinica.
La disattivazione precedente non è quindi una spiegazione documentata dell'ultimo attacco. Allo stesso modo la comunicazione pubblica non consente conclusioni su sistemi clinici cifrati o su apparecchiature mediche fuori servizio. È confermato un attacco al webserver su cui è ospitata anche la website.
Per una clinica si tratta di compiti distinti: garantire l'attività di cura, determinare la portata dei dati fuoriusciti e informare le persone coinvolte. Quali contromisure tecniche siano state sufficienti nel caso concreto non è ancora valutabile sulla base di una comunicazione generale su misure di protezione rafforzate.
In Svizzera esistono due diverse vie di segnalazione
Le istituzioni svizzere soggette all'obbligo di segnalazione per le infrastrutture critiche devono annunciare gli attacchi informatici rilevanti all'Ufficio federale per la cybersicurezza (UFC) entro 24 ore dalla scoperta. La regola vale dal 1° aprile 2025. Se alla prima segnalazione mancano informazioni, queste possono essere completate entro 14 giorni.
Per l'obbligo di segnalazione non è indispensabile un'interruzione dell'attività. L'UFC cita esplicitamente anche attacchi che fanno fuoriuscire o manipolano informazioni, nonché estorsione, minaccia o coercizione. Una fuga di dati può quindi essere rilevante anche se l'erogazione prosegue. Se una determinata istituzione rientri nell'obbligo dipende dalla legge sulla sicurezza delle informazioni e dalle eccezioni dell'ordinanza sulla cybersicurezza.
Accanto a ciò vi è la segnalazione in materia di protezione dei dati. Secondo il diritto federale sulla protezione dei dati, i titolari del trattamento devono annunciare il più rapidamente possibile all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) una violazione della sicurezza dei dati quando è prevedibile un rischio elevato per la personalità o i diritti fondamentali delle persone coinvolte. Una segnalazione all'UFC non sostituisce questo esame.
L'autorità di vigilanza competente in materia di protezione dei dati non è la stessa ovunque nel caso degli ospedali. L'IFPDT precisa che per le cartelle cliniche delle cliniche private si applica il diritto federale, mentre per quelle degli ospedali con mandato di prestazione cantonale vale il rispettivo diritto cantonale sulla protezione dei dati. Un unico indirizzo di segnalazione per tutte le cliniche svizzere sarebbe quindi fuorviante.
Le persone coinvolte hanno bisogno di un'informazione concreta
Per le persone i cui dati sono fuoriusciti conta in particolare quali informazioni sono interessate e quali passi di protezione diventano necessari. Nell'ambito di applicazione del diritto federale sulla protezione dei dati, i titolari del trattamento devono informarle quando ciò è necessario per la loro protezione o lo esige l'autorità di vigilanza. La Charité ha annunciato una notifica individuale. Questa deve ora concretizzare per le singole persone coinvolte le indicazioni generali sull'incidente del webserver.
Fonti
- Charité: comunicazione sull'attacco al webserver, 30 ottobre 2026
- UFC: obbligo di segnalazione per le infrastrutture critiche
- UFC: quali attacchi devono essere segnalati
- UFC: ambito di applicazione dell'obbligo di segnalazione
- IFPDT: segnalazione di violazioni della sicurezza dei dati
- IFPDT: domande sulla protezione dei dati relative a cartelle cliniche e ospedali
- Medinside: fuga di dati alla Charité, 2 novembre 2026
- Immagine di copertina: Vysotsky, elaborazione Lear 21, Charité 2022, Wikimedia Commons
- Licenza dell'immagine di copertina: CC BY-SA 4.0
- Immagine dell'articolo: Derrick Coetzee, server al NERSC, Wikimedia Commons
- Licenza dell'immagine dell'articolo: CC0 1.0
