Un attacco informatico che colpisce un fornitore può trasformarsi rapidamente in un problema diretto per l’azienda committente, anche se i suoi sistemi principali non vengono violati. È quanto emerge dal caso Veradigm: credenziali sottratte nell’ambiente di un terzo hanno consentito l’accesso a dati personali dei pazienti tramite un’API dedicata ai servizi clienti.
Per chi gestisce un’impresa, il punto non è solo “chi è stato colpito”, ma “come è successo”. Il caso dimostra che oggi la superficie di rischio comprende partner, software esterni, accessi privilegiati e interfacce applicative: tutti elementi che possono diventare il punto di ingresso di un attacco o di una estorsione.
Che cosa è successo a Veradigm
Il 9 settembre 2026 Veradigm, azienda statunitense di tecnologia sanitaria con sede a Chicago, ha comunicato una violazione di dati in seguito a un incidente di cybersicurezza che ha coinvolto uno dei suoi fornitori terzi. La società, nota in passato come Allscripts Healthcare Solutions, fornisce software e servizi per cartelle cliniche elettroniche, prescrizioni digitali, gestione dello studio medico e ciclo dei ricavi, ed è utilizzata da migliaia di ospedali, cliniche e aziende biofarmaceutiche negli Stati Uniti.
Secondo quanto dichiarato dalla società in un filing alla SEC, un attaccante avrebbe ottenuto credenziali dall’ambiente del fornitore relative a un’API di Veradigm riservata ai servizi clienti. Sfruttando quell’accesso, l’autore dell’intrusione avrebbe copiato dati dei pazienti.
Veradigm ha precisato alcuni punti importanti:
- l’incidente non avrebbe causato interruzioni operative;
- avrebbe interessato un numero limitato di clienti;
- i dati sottratti includerebbero informazioni personali e, per alcuni pazienti, anche i Social Security Number;
- le informazioni cliniche o mediche non sarebbero state coinvolte;
- le credenziali compromesse avrebbero consentito accesso solo a quell’interfaccia limitata, senza estendersi alla rete più ampia, ai server, ai database o ad altri sistemi aziendali.
Dopo la scoperta dell’incidente, l’azienda ha avviato le procedure di risposta, informato le forze dell’ordine e iniziato le notifiche verso clienti e interessati coinvolti, offrendo dove applicabile servizi di monitoraggio del credito.
Il ruolo del gruppo The Gentlemen
Nella comunicazione pubblica Veradigm non ha attribuito ufficialmente l’attacco a un gruppo specifico. Tuttavia, secondo quanto riportato da BleepingComputer, il gruppo ransomware The Gentlemen avrebbe rivendicato l’intrusione il 5 settembre 2026, pubblicando il nome dell’azienda sul proprio sito di leak.
Gli attaccanti sostengono di essere in possesso di 3,5 milioni di record di pazienti, comprensivi di nomi completi, indirizzi, Social Security Number, email, numeri di telefono e altri dati identificativi, inclusi quelli dei garanti. Hanno inoltre minacciato la pubblicazione dei dati entro venerdì 11 settembre in assenza di una trattativa per il pagamento di un riscatto.
Va tenuto presente che i numeri dichiarati dai gruppi criminali nelle fasi di estorsione non coincidono sempre con quelli confermati dalle vittime o dagli accertamenti forensi. In questo momento, la stessa Veradigm ha indicato che l’indagine è ancora in corso e che, sulla base delle informazioni disponibili, non ritiene l’incidente ragionevolmente idoneo a produrre un impatto materiale su business, operazioni, situazione finanziaria o risultati.
Perché questo caso è diverso da una “normale” violazione
La notizia è rilevante perché non descrive il classico scenario in cui un ransomware blocca direttamente l’operatività aziendale. Qui il cuore del problema è un altro: l’abuso di credenziali valide ottenute da un soggetto terzo.
È un dettaglio decisivo. Quando un attaccante entra con credenziali legittime, molti controlli di sicurezza tradizionali perdono efficacia. Il traffico può sembrare autorizzato, le richieste verso un’API possono apparire normali, e l’attività malevola può restare invisibile più a lungo. Anche senza cifrare server o workstation, il danno può essere serio: esfiltrazione di dati, obblighi di notifica, rischio reputazionale, contenziosi e verifiche regolatorie.
Inoltre, il caso mette in luce tre aspetti spesso sottovalutati nelle PMI:
- il fornitore IT o software è parte integrante del perimetro di rischio;
- le API sono porte di accesso ad alto valore e vanno governate come asset critici;
- una violazione “limitata” può comunque avere conseguenze importanti se coinvolge dati personali sensibili dal punto di vista economico o identitario.
Cosa insegna il caso Veradigm sulla supply chain digitale
Molte aziende pensano alla sicurezza come protezione di PC, server e posta elettronica. Oggi non basta più. La supply chain digitale comprende software in cloud, provider esterni, integratori, sistemi di assistenza remota, piattaforme connesse e ambienti condivisi.
Se un fornitore conserva credenziali, chiavi API o accessi di servizio, il suo livello di sicurezza incide direttamente sul rischio della tua azienda. Non serve che l’attaccante violi il tuo firewall se può entrare da una connessione fidata già autorizzata.
Questo è il motivo per cui i controlli sui terzi non dovrebbero essere trattati come una formalità contrattuale. Servono verifiche reali su almeno questi punti:
- chi conserva le credenziali e con quali protezioni;
- come vengono ruotate password, token e chiavi API;
- quali accessi sono strettamente necessari e quali no;
- come vengono monitorate le attività anomale;
- quali tempi di notifica sono previsti se il fornitore subisce un incidente.
In pratica, il rischio cyber non si trasferisce davvero a un partner solo perché il servizio è esternalizzato. Si condivide, e spesso ricade anche sul cliente finale.
Cosa significa per la tua azienda
Per una PMI italiana, il caso Veradigm è un promemoria molto concreto: anche se hai un buon gestionale, un server ben protetto e backup regolari, puoi restare esposto attraverso credenziali, integrazioni e fornitori esterni.
Ecco le priorità operative da considerare subito.
1. Mappa i fornitori che hanno accesso ai tuoi dati o ai tuoi sistemi
Non limitarti ai grandi provider cloud. Includi software house, consulenti, help desk, manutentori, partner che usano VPN, tool remoti, API o account amministrativi.
2. Riduci e separa gli accessi
Ogni fornitore dovrebbe avere accessi dedicati, tracciabili e limitati allo stretto necessario. Evita account condivisi e permessi eccessivi. Se possibile, applica segmentazione e scadenze automatiche delle credenziali.
3. Proteggi le API come proteggeresti un server critico
Le interfacce applicative non sono “solo integrazioni tecniche”: sono punti di accesso ai dati. Servono autenticazione robusta, monitoraggio dei log, revisione periodica dei token e alert su volumi o richieste anomale.
4. Pretendi regole chiare nei contratti con i fornitori
Nel contratto o nell’addendum privacy devono comparire obblighi di sicurezza, tempi di notifica degli incidenti, responsabilità, misure minime e collaborazione nelle indagini. In assenza di queste clausole, la gestione della crisi diventa molto più complessa.
5. Prepara la risposta prima dell’incidente
Quando emerge una violazione, il tempo è decisivo. Devi sapere chi chiama chi, come si isolano gli accessi, chi verifica i log, chi comunica con clienti e consulenti legali. Un piano di risposta ben definito vale più di molte policy scritte e mai testate.
6. Non trascurare backup e continuità operativa
In questo caso non risultano blocchi operativi, ma molti attacchi di doppia estorsione combinano furto dati e cifratura. Per questo un piano di remote backup verificato e ripristinabile resta essenziale.
7. Verifica l’impatto privacy e gli obblighi di notifica
Se vengono coinvolti dati personali, oltre alla gestione tecnica serve valutare rapidamente gli adempimenti normativi. Per molte aziende è utile affiancare la parte cyber a un supporto su GDPR, così da decidere in tempi rapidi su notifiche, registrazioni dell’incidente e comunicazioni agli interessati.
8. Affidati a una gestione strutturata degli endpoint e degli accessi
Molte compromissioni partono da postazioni, credenziali o strumenti remoti non governati in modo uniforme. Una buona disciplina di sicurezza informatica e gestione centralizzata riduce il rischio di accessi impropri e di escalation laterali.
Il messaggio più importante: “nessun impatto operativo” non significa “nessun problema”
Spesso le aziende valutano la gravità di un attacco solo in base alla continuità operativa: se gli uffici lavorano e i server non sono fermi, il danno sembra contenuto. Ma il caso Veradigm dimostra il contrario.
Se vengono esfiltrati dati personali, le conseguenze possono manifestarsi anche settimane o mesi dopo: frodi, tentativi di phishing mirati, richieste di chiarimento da clienti, costi legali, verifiche assicurative, impatto reputazionale e pressione negoziale da parte dei criminali.
Nel modello della doppia estorsione, anzi, l’obiettivo non è sempre interrompere il business. A volte basta rubare dati abbastanza sensibili da rendere credibile la minaccia di pubblicazione.
Per questo la domanda corretta non è soltanto “quanto tempo resterei fermo?”, ma anche “quali dati potrebbe sottrarre un fornitore compromesso usando credenziali valide?”
Domande frequenti
Se il problema nasce da un fornitore, la mia azienda è comunque coinvolta?
Sì. Se il fornitore tratta tuoi dati o accede ai tuoi sistemi, l’incidente può ricadere anche su di te sotto il profilo operativo, contrattuale, reputazionale e privacy.
Un’API compromessa è davvero pericolosa quanto un server violato?
Può esserlo. Se l’API consente accesso a dati o funzioni sensibili, un attaccante con credenziali valide può esfiltrare informazioni senza toccare il resto dell’infrastruttura.
Cosa dovrei fare già questa settimana?
Fai un elenco dei fornitori con accesso ai tuoi sistemi, verifica credenziali e privilegi attivi, controlla i log delle integrazioni più critiche e rivedi le clausole contrattuali sugli incidenti di sicurezza.