Nel 2026, il panorama delle minacce informatiche per le organizzazioni sanitarie e i loro Managed Service Provider (MSP) è diventato sempre più complesso e pericoloso. Gli attaccanti stanno intensificando i loro tentativi di violazione, mettendo a rischio non solo le infrastrutture interne, ma anche quelle delle terze parti, in particolare degli MSP.
Secondo i dati di Comparitech gli attacchi ransomware contro le aziende del settore sanitario sono aumentati del 35% nel primo trimestre del 2026 rispetto al quarto trimestre del 2025. Inoltre, il Verizon Data Breach Investigations Report (DBIR) 2026 ha rilevato un incremento del 60% delle violazioni con il coinvolgimento di terze parti, inclusi i service provider, rispetto al report 2025.
Attacchi alla supply chain: il nuovo fronte di battaglia
Uno dei cambiamenti più rilevanti per la cybersecurity nel settore sanitario nel 2025 è stato il crescente interesse degli attaccanti verso gli MSP. Compromettendo un provider, gli attaccanti possono sfruttare strumenti di monitoraggio e gestione da remoto, come le piattaforme RMM (Remote Monitoring & Management) per muoversi tra più ambienti cliente, distribuire ransomware ed esfiltrare dati.
Per mitigare questi rischi, è fondamentale adottare un approccio architetturale che includa la separazione dell’ambiente dell’MSP da quello dei clienti, la segmentazione dei piani di gestione, la protezione delle credenziali per ciascun cliente e l’applicazione di strumenti MFA (Multifactor Authentication) a prova di phishing su tutti gli accessi remoti.
Ransomware-as-a-service: una minaccia in crescita
Nel 2025, il settore sanitario è stato tra i più colpiti dal ransomware. Secondo Comparitech nei primi tre trimestri dell’anno sono stati registrati 293 attacchi contro provider sanitari e 130 contro aziende del settore, inclusi vendor, società di billing e fornitori tecnologici, con un aumento del 30% anno su anno per queste ultime.
Il modello ransomware-as-a-service ha spinto il volume degli attacchi, con gruppi come QilinINC RansomRansomHubSafePay e Medusa che hanno registrato una forte crescita delle rivendicazioni. Per gli MSP, garantire un recovery privo di malware è essenziale per evitare cicli di reinfezione.
Soluzioni come Acronis Safe Recovery analizzano ogni immagine di backup alla ricerca di malware e vulnerabilità prima di consentirne il ripristino nella rete di produzione, riducendo così il rischio di reinfezione. Inoltre, le funzionalità di endpoint detection and response (EDR) ed extended detection and response (XDR) di Acronis aggiungono un ulteriore livello di protezione al backup, permettendo di rilevare movimenti laterali sugli endpoint gestiti.
Furto di credenziali e social engineering: tattiche in evoluzione
Le credenziali sono ormai il nuovo perimetro di attacco per il settore sanitario. Secondo il Verizon 2026 DBIR l’abuso di credenziali è rimasto il principale vettore iniziale di attacco, presente nel 36% delle violazioni. Anche il report IBM sul costo dei data breach 2025 evidenzia il peso del phishing, seguito da compromissioni di vendor e supply chain e dall’uso di credenziali rubate.
Nel 2025, diverse campagne hanno mostrato quanto il rischio sia concreto. Raccoon0365 un’operazione di phishing-as-a-service mirata alla raccolta di credenziali Microsoft 365 ha sottratto circa 5.000 credenziali in 94 Paesi e compromesso almeno 20 ospedali americani prima di essere smantellata da Microsoft con il supporto di Health-ISAC.
Per gli MSP, la verifica dell’identità per reset password e modifiche MFA non può più basarsi su semplici domande conoscitive. Per gli account privilegiati, soprattutto quelli che accedono ad ambienti sanitari, la MFA basata su notifiche push non è più sufficiente: FIDO2 o hardware tokens dovrebbero rappresentare lo standard minimo. Anche la sicurezza email resta decisiva per intercettare campagne di phishing prima che possano raccogliere credenziali valide.
Minacce interne: un rischio spesso sottovalutato
Le minacce interne restano uno dei rischi più sottovalutati nella cybersecurity sanitaria. Secondo il Verizon DBIR 2026 quasi il 20% delle violazioni confermate nel settore sanitario ha coinvolto attori interni, mentre il Ponemon Institute’ 2026 Cost of Risks Global Report stima per sanità e farmaceutico un costo medio annualizzato di 28,8 milioni di dollari legato agli insider breach.
Nella maggior parte dei casi, però, non si tratta di azioni malevole, ma di errori o comportamenti negligenti. Il settore sanitario è infatti tra i più colpiti dagli errori dei dipendenti, come accessi impropri alle cartelle cliniche, invio accidentale di dati via email o condivisione informale delle credenziali tra personale clinico.
Per gli MSP, questo significa che la protezione non può limitarsi al perimetro esterno. Le soluzioni di data loss prevention (DLP) diventano parte integrante dello stack di sicurezza sanitario: Acronis DLP disponibile come add-on, monitora il movimento dei PHI attraverso endpoint ed email, aiutando a intercettare incidenti causati da negligenza prima che diventino violazioni soggette a notifica.
L’analisi comportamentale è essenziale, mentre la formazione annuale deve essere considerata solo un punto di partenza.
Nel breve periodo, gli MSP dovrebbero partire dalla propria infrastruttura: aggiornare strumenti RMM, PSA e di accesso remoto, applicare MFA a prova di phishing a tutti gli account con accesso agli ambienti cliente e introdurre verifiche dell’identità per l’help desk non basate solo su domande conoscitive.
Nel trimestre successivo, la priorità è adottare un recovery consapevole del rischio malware, evitando di ripristinare backup che contengono ancora l’infezione originaria. Acronis Safe Recovery aiuta a chiudere questa lacuna, mentre EDR e XDR rafforzano il rilevamento sugli endpoint clinici, anche dove le performance locali sono un vincolo.
Nel corso del 2026, gli MSP dovrebbero rafforzare la segmentazione attorno ai dispositivi IoMT implementare soluzioni DLP per i clienti che gestiscono grandi volumi di dati sanitari protetti e rendere continua la formazione sulla sicurezza.
