Si sa, il settore sanitario si conferma essere decisamente fuzzy per quanto riguarda l’aspetto della gestione dei dati personali. Soprattutto quando si parla di sicurezza, pressoché ogni istruttoria del Garante Privacy si trova ad affrontare l’affermazione all’interno delle memorie difensive relative a delle “difficoltà organizzative”. Le quali sono più che comprensibili durante il corso dell’emergenza Covid, ma oramai non è che possono fondare una scusa sempiterna, distorcendo il tempo alla pari di un wormhole a comando simile al buco portatile della ACME.

Eppure, il sottotesto drammatico ricorrente è un qui salviamo vite, non c’è tempo per la privacy. Falsa argomentazione, perpetrata per ignoranza o malafede, ma terribilmente suadente. E stavolta rivela una capacità di gestione del tempo pari a quella del Bianconiglio. Gran parte del settore sanitario – pubblico o privato che sia – ha coltivato l’abitudine di porre la protezione dei dati in secondo piano. Anzi: in un piano che forse non può nemmeno ambire al podio.

Si può auspicare che nel caso di interventi sanzionatori da parte del Garante Privacy nel settore pubblico l’attenzione alla responsabilizzazione degli apicali venga rilevata da opportune indagini della magistratura contabile, mentre per il settore privato saranno gli stakeholder a formulare i rilievi del caso.

Se questo porterà, nel tempo, ad una maggiore attenzione agli aspetti della privacy da parte di chi decide, resterà sempre il problema di fondo: una cultura della privacy incompiuta o distorta. In pratica, quella che induce l’utenza dei servizi a sottostimare le conseguenze di un data breach ed è effetto di una narrazione da parte di chi ovviamente ha voluto far passare proprio l’idea che in fondo una violazione dei dati sanitari possa essere un niente di che in quanto non si tratta di segreti di Stato.

I principali artefici di questa narrazione sono però gli stessi soggetti che hanno tutto da guadagnare dall’effetto di una deresponsabilizzazione diffusa, dal momento che il conto di una mancata o pessima gestione della sicurezza sarà pagato per lo più dagli interessati coinvolti. I quali avranno anche meno critiche da porre in caso di illeciti o violazioni, e potranno accettare di buon grado di riqualificare il tutto come disguidi o burocrazie.

Eppure, l’opera di svilire l’autorità di controllo o ridurre privacy e sicurezza come meri adempimenti burocratici ha contribuito ad aumentare la frequenza delle violazioni e ad aggravarne le conseguenze negative.

Cosa succede quando vengono violate le proprie analisi del sangue

Prendiamo infatti il caso di un data breach che ha coinvolto delle analisi del sangue. L’argomento fantoccio impiegato per minimizzare l’accaduto è: che problema c’è se il cybercriminale conosce il mio emocromo?

Peccato però che siano presenti dati personali che:

• identificano l’interessato (nome, cognome, codice fiscale);
• consentono di contattarlo (solitamente e-mail e telefono);
• rivelano informazioni relative allo stato di salute (esito delle analisi);

ma non solo. Infatti, è possibile trarre informazioni dal semplice fatto di aver svolto delle analisi in quella determinata struttura sanitaria e prevedere, ad esempio, che l’interessato stia attendendo una comunicazione da parte della struttura.

Questo è un elemento di valore per un cybercriminale il quale se ne potrà giovare per organizzare campagne mirate di phishing e confidare in una maggiore efficacia delle leve impiegate. L’elemento dell’aspettativa espone infatti l’interessato a ritenere come maggiormente affidabile una comunicazione contraffatta per conto della struttura sanitaria presso cui ha svolto delle analisi e non farsi troppe domande a riguardo

In pratica: quel non essere sorpreso nel ricevere quella comunicazione comporta minori cautele da parte del destinatario. E questo è noto al cybercriminale. Così, la comunicazione sarà impiegata come vettore d’attacco, potendo contare proprio su una maggiore probabilità che degli interessati poco accorti o inconsapevoli – poiché non allertati o anestetizzati dalla narrativa del ma che vuoi che sia – vadano a cliccare un link o un allegato malevolo.

Beninteso, questo è solo uno dei molti esempi possibili perché occorre sempre pensare al peggiore utilizzo dei dati violati da parte di un malintenzionato (*) per essere in grado di adottare le cautele più adeguate ed essere così in grado di mitigare le conseguenze negative di una violazione. Motivo per cui una comunicazione di data breach ai sensi dell’art. 34 GDPR è un adempimento fondamentale.

(*) l’unico limite è la fantasia e la motivazione dell’attaccante. Nulla toglie che questi possa avvalersi dell’indirizzo dell’abitazione, o altrimenti spacciarsi per un operatore sanitario (è sufficiente una ricerca online per avere alcuni nomi utili a tale scopo) che deve dare una comunicazione molto urgente per acquisire facilmente la fiducia di qualche familiare particolarmente preoccupato e farsi aprire ogni porta. O consegnare altri documenti. O chissà cosa. Ricorda nulla il “So cosa hai fatto”?

Solo andando oltre la narrazione di un’anticultura della privacy è però possibile alimentare una maggiore sensibilità diffusa da parte di tutti gli stakeholder coinvolti, primi fra tutti gli interessati i quali dovranno pretendere un approccio responsabile alla protezione dei propri dati personali in ambito sanitario.

Attenzione, però: la consapevolezza rende immuni alle scuse di deresponsabilizzazione.

Anche a quelle che ci siamo raccontati o a cui vorremmo tanto credere.

A ciascuno il suo

Tutto qui? Non proprio. In fondo quando c’è un problema diffuso – e questo è il caso – si può sempre scegliere se essere parte del problema, o altrimenti operarsi per risolverlo. Beninteso: nel caso si opti per la comodità dell’inerzia, si è comunque parte del problema.

Bisogna quindi fare i conti con la realtà dei fatti: se lo stato dell’arte piace, ben vengano attacchi e ogni conseguenza negativa ulteriore. Accettando anche tutte quelle ipotesi in cui sono colpiti o i propri interessi o quelli dei propri cari.

Per coerenza, che lo si dichiari senza problemi a questo punto. In fondo non sono queste le persone che si vantano di non avere niente da nascondere? Che facciano di conseguenza un bel virtue signaling sulla pelle delle vittime di una violazione di sicurezza dicendo che in fondo quel data breach non è niente di che così come non è niente di che l’esporsi a tutti i pericoli che ne derivano.

Chissà se si capirà prima o poi che la privacy riguarda chi non ha nulla da nascondere ma tutto da proteggere.

L'articolo Ma che data breach, mi hanno solo fregato le analisi del sangue! proviene da il blog della sicurezza informatica.

L'idea meravigliosa di Von Der Leyen: se la NATO non interessa più agli USA, paghiamo tutto noi pur di restare negli anni '50. E poi l'idea meravigliosa del Parlamento di Sua Maestà britannica per "superare" il GDPR.

spreaker.com/episode/dk-9x21-c…

Popular Science has an excellent article on how Josephine Cochrane transformed how dishes are cleaned by inventing an automated dish washing machine and obtaining a patent in 1886. Dishwashers had been attempted before, but hers was the first with the revolutionary idea of using water pressure to clean dishes placed in wire racks, rather than relying on some sort of physical scrubber. The very first KitchenAid household dishwashers were based on her machines, making modern dishwashers direct descendants of her original design.
Josephine Cochrane (née Garis)
It wasn’t an overnight success. Josephine faced many hurdles. Saying it was difficult for a woman to start a venture or do business during this period of history doesn’t do justice to just how many barriers existed, even discounting the fact that her late husband was something we would today recognize as a violent alcoholic. One who left her little money and many debts upon his death, to boot.

She was nevertheless able to focus on developing her machine, and eventually hired mechanic George Butters to help create a prototype. The two of them working in near secrecy because a man being seen regularly visiting her home was simply asking for trouble. Then there were all the challenges of launching a product in a business world that had little place for a woman. One can sense the weight of it all in a quote from Josephine (shared in a write-up by the USPTO) in which she says “If I knew all I know today when I began to put the dishwasher on the market, I never would have had the courage to start.”

But Josephine persevered and her invention made a stir at the 1893 World’s Fair in Chicago, winning an award and mesmerizing onlookers. Not only was it invented by a woman, but her dishwashers were used by restaurants on-site to clean tens of thousands of dishes, day in and day out. Her marvelous machine was not yet a household device, but restaurants, hotels, colleges, and hospitals all saw the benefits and lined up to place orders.

Early machines were highly effective, but they were not the affordable, standard household appliances they are today. There certainly existed a household demand for her machine — dishwashing was a tedious chore that no one enjoyed — but household dishwashing was a task primarily done by women. Women did not control purchasing decisions, and it was difficult for men of the time (who did not spend theirs washing dishes) to be motivated about the benefits. The device was expensive, but it did away with a tremendous amount of labor. Surely the price was justified? Yet women themselves — the ones who would benefit the most — were often not on board. Josephine reflected that many women did not yet seem to think of their own time and comfort as having intrinsic value.

Josephine Cochrane ran a highly successful business and continued to refine her designs. She died in 1913 and it wasn’t until the 1950s that dishwashers — direct descendants of her original design — truly started to become popular with the general public.

Nowadays, dishwashers are such a solved problem that not only are they a feature in an instructive engineering story, but we rarely see anyone building one (though it has happened.)

We have Josephine Cochrane to thank for that. Not just her intellect and ingenuity in coming up with it, but the fact that she persevered enough to bring her creation over the finish line.

hackaday.com/2025/03/11/joseph…

Since the beginning of the year, we’ve been tracking in our telemetry a new wave of DCRat distribution, with paid access to the backdoor provided under the Malware-as-a-Service (MaaS) model. The cybercriminal group behind it also offers support for the malware and infrastructure setup for hosting the C2 servers.

Distribution

The DCRat backdoor is distributed through the YouTube platform. Attackers create fake accounts or use stolen ones, then upload videos advertising cheats, cracks, gaming bots and similar software. In the video description is a download link to the product supposedly being advertised. The link points to a legitimate file-sharing service where a password-protected archive awaits, the password for which is also in the video description.

YouTube video ad for a cheat and crack

Instead of gaming software, these archives contain the DCRat Trojan, along with various junk files and folders to distract the victim’s attention.

Archives with DCRat disguised as a cheat and crack

Backdoor

The distributed backdoor belongs to a family of remote access Trojans (RATs) dubbed Dark Crystal RAT (DCRat for short), known since 2018. Besides backdoor capability, the Trojan can load extra modules to boost its functionality. Throughout the backdoor’s existence, we have obtained and analyzed 34 different plugins, the most dangerous functions of which are keystroke logging, webcam access, file grabbing and password exfiltration.

DCRat builder plugins on the attackers’ site

Infrastructure

To support the infrastructure, the attackers register second-level domains (most often in the RU zone), which they use to create third-level domains for hosting the C2 servers. The group has registered at least 57 new second-level domains since the start of the year, five of which already serve more than 40 third-level domains.

A distinctive feature of the campaign is the appearance of certain words in the second-level domains of the malicious infrastructure, such as “nyashka”, “nyashkoon”, “nyashtyan”, etc. Users interested in Japanese pop culture will surely recognize these slang terms. Among anime and manga fans, “nyasha” has come to mean “cute” or “hon”, and it’s this word that’s most often seen in the second-level domains.

C2 server addresses with characteristic naming approach

Victims

Based on our telemetry data since the beginning of 2025, 80% of DCRat samples using such domains as C2 servers were downloaded to the devices of users in Russia. The malware also affected a small number of users from Belarus, Kazakhstan and China.

Conclusion

Kaspersky products detect the above-described samples with the verdict
Backdoor.MSIL.DCRat.
Note that we also encounter campaigns distributing other types of malware (stealers, miners, loaders) through password-protected archives, so we strongly recommend downloading game-related software only from trusted sources.

securelist.com/new-wave-of-att…