Un nuovo incidente di sicurezza ha colpito il Hospital for Sick Children di Toronto, noto come SickKids: secondo quanto comunicato il 21 agosto 2026, sono stati esposti dati personali di alcuni dipendenti attuali, ex dipendenti e candidati a posizioni di lavoro. La struttura ha precisato che i sistemi clinici e le cartelle dei pazienti non sono stati coinvolti, ma il caso resta importante anche per le aziende italiane perché mostra un rischio sempre più comune: la vulnerabilità non nasce sempre “dentro casa”, ma in software di terze parti usato per processi ordinari come recruiting e gestione HR.
Per un’impresa, questo significa una cosa semplice: anche se i sistemi core restano protetti, un portale esterno o un fornitore software può diventare il punto d’ingresso per un attacco con conseguenze legali, operative e reputazionali.
Cosa è successo a SickKids
SickKids ha dichiarato di aver rilevato un “cybersecurity incident” che ha comportato un accesso non autorizzato a informazioni personali collegate a persone che lavorano o hanno lavorato per l’organizzazione, oltre a candidati che avevano inviato domanda di assunzione.
Secondo la comunicazione riportata il 21 agosto 2026, l’origine dell’incidente sarebbe una vulnerabilità in un’applicazione software di terze parti utilizzata non solo dall’ospedale, ma anche da altre organizzazioni. Non sono stati resi pubblici il nome del fornitore, il prodotto coinvolto né l’eventuale identificativo della vulnerabilità.
Tra gli elementi confermati:
- il sito pubblico Careers è stato temporaneamente messo offline;
- il portale è stato poi ripristinato in sicurezza;
- i sistemi clinici non sono stati toccati;
- le informazioni dei pazienti non risultano coinvolte;
- l’assistenza sanitaria è proseguita regolarmente.
L’ospedale ha avviato un’indagine con il supporto di esperti esterni di cybersecurity. La revisione è ancora in corso e, al momento della comunicazione, non erano stati resi noti né il numero delle persone interessate né le categorie esatte di dati esposti, né la data precisa dell’intrusione.
Perché il problema è più serio di quanto sembri
A prima vista, il fatto che non siano stati colpiti sistemi clinici e dati dei pazienti potrebbe far pensare a un impatto limitato. In realtà, i dati di dipendenti e candidati hanno un valore elevato per i criminali informatici.
I portali di candidatura raccolgono spesso informazioni molto dettagliate: nome e cognome, recapiti, indirizzo, storico lavorativo, curriculum, talvolta documenti identificativi o altri dati utili a verifiche amministrative. Anche quando non ci sono dati sanitari o finanziari, questo patrimonio informativo è sufficiente per:
- furti d’identità;
- truffe mirate;
- campagne di phishing molto credibili;
- attacchi di social engineering verso uffici HR, amministrazione o IT.
Un malintenzionato che conosce il nome di un candidato, il ruolo per cui si è proposto e i riferimenti interni dell’azienda può costruire email o telefonate estremamente convincenti. In molte PMI, questi attacchi hanno più probabilità di successo rispetto a un assalto diretto ai sistemi tecnici.
Il ruolo critico dei fornitori esterni
L’aspetto più rilevante della vicenda SickKids è l’origine dell’incidente: una falla in software di terze parti. È uno schema ormai frequente. Le aziende investono nella protezione del proprio server, dei PC o di Microsoft 365, ma spesso danno per scontata la sicurezza di piattaforme esterne dedicate a selezione del personale, ticketing, marketing, contabilità o gestione documentale.
Il problema è che questi strumenti trattano dati sensibili per il business e, se esposti su Internet, possono ampliare enormemente la superficie d’attacco.
Quando un fornitore esterno viene compromesso, le conseguenze ricadono comunque sull’organizzazione cliente:
- bisogna capire quali dati sono stati coinvolti;
- occorre informare gli interessati quando necessario;
- vanno gestiti i profili privacy e contrattuali;
- bisogna prevenire attacchi successivi basati sui dati già sottratti.
Per questo la cybersecurity non può più essere limitata al perimetro interno. Deve includere anche verifica dei fornitori, inventario delle applicazioni cloud e controllo dei flussi di dati.
Un bersaglio già colpito in passato
Il caso del 2026 non è il primo episodio pubblico che riguarda SickKids. Nel dicembre 2022 l’ospedale era stato colpito da un attacco ransomware che aveva causato disservizi ai sistemi interni, alle linee telefoniche e al sito web, con ritardi nei risultati di laboratorio e di imaging. In quel caso il gruppo LockBit aveva persino diffuso una rara scusa pubblica, sostenendo che l’affiliato responsabile aveva violato le regole interne che vietavano di cifrare istituzioni mediche.
Successivamente, nel settembre 2023, SickKids era stato anche tra i soggetti coinvolti in un’altra violazione collegata a un’organizzazione terza con cui condivide dati perinatali e pediatrici in Ontario. Quell’evento derivava dallo sfruttamento su larga scala della vulnerabilità MOVEit Transfer zero-day, identificata come CVE-2023-34362, e aveva esposto dati di 3,4 milioni di persone.
Questa sequenza mostra un punto essenziale: non conta solo difendersi dagli attacchi diretti. Le organizzazioni restano esposte anche attraverso l’ecosistema di partner, software condivisi e piattaforme esterne.
Perché il settore sanitario continua a essere nel mirino
Il settore sanitario è da anni uno dei più colpiti da ransomware, estorsioni digitali e furti di dati. Il motivo è semplice: dispone di grandi quantità di informazioni preziose, spesso conservate per lunghi periodi, e gestisce attività che non possono fermarsi facilmente.
Nel caso degli ospedali pediatrici, la delicatezza è ancora maggiore. Anche quando l’obiettivo immediato non sono i dati clinici, il contesto sanitario rende qualsiasi incidente particolarmente sensibile sul piano reputazionale.
Ma il messaggio non riguarda solo la sanità. Qualsiasi organizzazione con processi HR digitalizzati, un sito careers o un applicativo cloud per la gestione del personale può trovarsi nella stessa situazione.
Cosa significa per la tua azienda
Per una PMI italiana, la lezione più utile del caso SickKids è pratica: non basta chiedersi se i propri server sono protetti. Bisogna verificare dove finiscono i dati aziendali e chi li tratta davvero.
Ecco le priorità concrete da affrontare:
-
Mappa i fornitori che trattano dati personali
HR, consulente paghe, software recruiting, CRM, ticketing, backup cloud, PEC, piattaforme documentali: serve un elenco aggiornato con tipo di dati trattati e referenti. -
Controlla i portali esposti su Internet
Se hai una pagina “Lavora con noi”, un form candidature o un’area riservata per fornitori e clienti, questi servizi vanno inclusi nella strategia di sicurezza, non considerati semplici strumenti di comunicazione. -
Riduci i dati raccolti al minimo necessario
Nei moduli di candidatura o onboarding evita campi superflui. Meno dati raccogli, minore sarà l’impatto di un’eventuale violazione. -
Pretendi garanzie dai fornitori
Chiedi come gestiscono patch, logging, cifratura, backup, notifica incidenti e subfornitori. Se il partner tratta dati personali, gli aspetti contrattuali e privacy vanno chiariti prima, non dopo un problema. -
Prepara una procedura di incidente
Devi sapere chi decide, chi verifica i log, chi parla con il fornitore, chi valuta gli obblighi privacy e chi comunica internamente. Senza una procedura, si perdono ore preziose. -
Proteggi endpoint e account interni
Dopo un data breach esterno spesso arrivano phishing mirati contro dipendenti e amministrativi. Aggiornamenti, monitoraggio e gestione centralizzata delle postazioni sono fondamentali, soprattutto in ambienti con smart working o sedi distribuite. Su questo può essere utile un servizio di desktop IT management. -
Verifica backup e continuità operativa
Anche quando l’incidente nasce fuori dall’azienda, gli effetti possono propagarsi a file, posta, documenti o workflow interni. Avere copie affidabili e testate resta essenziale, ad esempio con soluzioni di remote backup. -
Allinea sicurezza e privacy
Se vengono coinvolti dati personali di dipendenti o candidati, la gestione non è solo tecnica: serve anche una valutazione degli obblighi documentali e organizzativi legati alla protezione dei dati. In questo ambito è utile affrontare il tema in modo coordinato con i processi di sicurezza informatica.
In sintesi: il rischio maggiore non è solo la vulnerabilità iniziale, ma il fatto di non sapere quali dati erano in quel sistema, chi ne fosse responsabile e come reagire rapidamente.
La vera domanda da farsi oggi
La domanda giusta non è “può succedere anche a noi?”, ma “quale nostro fornitore o portale secondario potrebbe esporre dati prima ancora che ce ne accorgiamo?”.
Il caso SickKids dimostra che anche organizzazioni grandi e strutturate possono subire un incidente senza che vengano toccati i sistemi principali. Per le imprese più piccole questo è un richiamo ancora più importante: spesso i punti deboli non sono nel gestionale centrale, ma in applicazioni considerate accessorie e quindi controllate meno.
Investire in inventario dei servizi, verifica dei fornitori e procedure di risposta agli incidenti costa molto meno che gestire una violazione con impatto su dipendenti, candidati e reputazione aziendale.
Domande frequenti
Se non sono stati colpiti i dati dei clienti, il danno è davvero grave?
Sì. Dati di dipendenti e candidati possono essere usati per furti d’identità, phishing mirato e frodi interne, oltre a generare obblighi privacy e danni reputazionali.
Un portale candidature è davvero un obiettivo interessante per i criminali?
Assolutamente sì. Contiene dati personali ricchi e aggiornati, utili sia per truffe sia per costruire attacchi di social engineering molto credibili.
Come può difendersi una PMI senza un reparto IT interno?
Partendo da tre basi: inventario dei fornitori che trattano dati, controllo degli account e dei PC aziendali, e una procedura chiara per reagire agli incidenti con il supporto di un partner esterno competente.