CNIL multa ospedale francese: 727mila profili esposti senza MFA né VPN

Il 3 settembre 2026 la Commission nationale de l'informatique et des libertés (CNIL) ha sanzionato Hôpital privé de la Loire (HPL) con 500.000 euro per violazioni del GDPR. La multa riguarda una data breach avvenuta nell'estate 2025 che ha esposto i dati di 727.113 persone, tra cui 524.867 pazienti e 202.246 terzi di fiducia, a causa di una combinazione di carenze elementari nell'architettura di sicurezza. L'attaccante ha ottenuto accesso al sistema di cartelle cliniche elettroniche sfruttando credenziali valide senza alcun controllo successivo.

Come funzionava l'accesso: una singola credenziale, nessun confine

L'attaccante ha compromesso l'account di un singolo medico, secondo quanto riferito dalla fonte citata. Da quel punto, il sistema non ha posto alcun ostacolo architetturale all'escalation. I controlli di accesso inadeguati hanno permesso al conto compromesso di consultare i record di tutti i pazienti, violando il principio di medical secrecy.

L'accesso avveniva da posizioni esterne alla rete istituzionale. Gli utenti esterni, inclusi medici di libera professione, si collegavano senza VPN e senza autenticazione a più fattori. La combinazione di autenticazione single-factor e assenza di network segmentation ha trasformato una compromissione di credenziali in una data breach totale.

HPL è una struttura di medie dimensioni: 650 dipendenti, 180 medici, 333 posti letto in cinque divisioni cliniche, circa 60.000 pazienti annui. La scalabilità del danno non è proporzionale alle dimensioni dell'infrastruttura: un singolo punto di ingresso non protetto ha reso accessibile l'intero database DPI.

Il profilo dell'attaccante e il mercato dei dati sanitari

Un hacker con alias "Marak", descritto come adolescente, ha rivendicato l'attacco contattando il quotidiano francese Le Progrès via Telegram. Secondo la fonte citata, l'attaccante ha dichiarato che l'accesso iniziale avvenuto tramite la compromissione di un unico account medico.

Il tentativo di monetizzazione è stato limitato. L'attaccante ha offerto i dati a un singolo acquirente per un prezzo tra 2.000 e 5.000 euro. La fonte riferisce che i dati non risultano né venduti né pubblicati, ma la conferma definitiva dello stato attuale non è disponibile.

L'identità reale dell'attaccante rimane non verificata. L'alias "Marak" e la fascia d'età dichiarata non sono stati confermati da fonti investigative indipendenti. Il brief non specifica la modalità tecnica precisa della compromissione iniziale: phishing, credential stuffing o altre tecniche non sono documentate.

Le violazioni del GDPR: articoli 32 e 34

La CNIL ha rilevato la violazione degli articoli 32 e 34 del Regolamento generale sulla protezione dei dati. L'articolo 32 impone misure tecniche e organizzative adeguate a garantire un livello di sicurezza adeguato al rischio. L'articolo 34 regola l'obbligo di comunicazione della violazione all'interessato quando questa è suscettibile di presentare un alto rischio per i diritti e le libertà.

La comunicazione ai pazienti è avvenuta, ma con una lacuna significativa: i 202.246 terzi di fiducia non sono stati informati direttamente. Questo aspetto evidenzia una lettura restrittiva dell'obbligo di notifica, limitata ai soggetti diretti del trattamento anziché estesa ai terzi i cui dati erano contenuti nella stessa base.

La fonte 3 riporta la formulazione della CNIL: "méconnaissance de principes essentiels en matière de sécurité". La mancanza di monitoring in tempo reale o quasi reale è stata determinante nel prolungamento dell'incidente: l'attaccante ha operato per diversi giorni prima del rilevamento, senza che alcun sistema generasse alert su accessi anomali o esfiltrazione bulk.

"France's data protection authority (CNIL) has fined Hôpital privé de la Loire €500,000 ($580,000) for failing to adequately protect patients' and their relatives' data." — BleepingComputer

L'ingiunzione correttiva e la posizione dell'ospedale

Accanto alla sanzione pecuniaria, la CNIL ha emesso un'ingiunzione con termini compresi tra 3 e 15 mesi per l'implementazione di meccanismi di rilevamento e l'aggiornamento delle policy di accesso. Questo elemento, riportato dalla fonte 3, indica che l'autorità non si limita alla sanzione retroattiva ma impone un percorso strutturato di rimediabilità.

Xavier Claris, presidente del consiglio di amministrazione di HPL LDA, ha dichiarato che la struttura sta valutando il ricorso al Consiglio di Stato francese. Secondo la stessa fonte, Claris ha indicato che alcuni interventi, inclusa l'autenticazione a due fattori, sono già stati completati. La valutazione del ricorso non equivale alla presentazione di un ricorso formale: lo status giuridico attuale è quello di una sanzione definitiva con eventuale impugnazione in corso di valutazione.

Cosa fare adesso

Per le organizzazioni sanitarie europee, il caso HPL definisce un perimetro di azione concreto. La CNIL ha sanzionato non la complessità dell'attacco ma la prevedibilità delle carenze: l'assenza di MFA per accessi esterni, la mancanza di VPN per utenti non istituzionali e il deficit di monitoring in tempo reale.

Le implicazioni operative si traducono in tre priorità. Prima: estendere l'autenticazione a più fattori a tutti gli accessi al sistema DPI, inclusi quelli di medici di libera professione e utenti esterni. Seconda: implementare network segmentation che limiti la visibilità di un singolo account compromesso al sottoinsieme di pazienti di sua competenza. Terza: attivare sistemi di rilevamento in tempo reale o quasi reale su accessi anomali, esfiltrazioni bulk e pattern di movimento laterale.

La notifica ai terzi di fiducia rappresenta un quarto elemento di compliance. L'articolo 34 del GDPR impone l'informazione agli interessati quando la violazione presenta un alto rischio: la lettura restrittiva applicata da HPL, limitata ai pazienti diretti, è stata rilevata come violazione autonoma.

Domande frequenti

Perché la multa è stata emessa nel 2026 per un incidente del 2025?
L'intervallo riflette i tempi dell'indagine amministrativa CNIL. La fonte non specifica la data esatta dell'incidente nell'estate 2025 né le tappe procedurali interne.

I dati sono stati effettivamente divulgati?
Secondo la fonte citata, i dati non risultano né venduti né pubblicati. La conferma definitiva dello stato attuale non è disponibile nel brief.

L'ospedale ha già presentato ricorso?
No. Xavier Claris ha dichiarato che la struttura sta valutando il ricorso al Consiglio di Stato. La valutazione non equivale alla presentazione di un atto giuridico formale.

Fonti

• https://www.bleepingcomputer.com/news/security/french-hospital-fined-500-000-after-breach-exposes-data-of-727-000/
• https://radar.offseq.com/threat/french-hospital-fined-500000-after-breach-exposes-data-of-727000-f197ebd48201b531
• https://www.memesita.com/french-hospital-fined-e500k-by-cnil-over-massive-patient-data-breach/
• https://www.secnews.gr/730387/galliko-nosokomeio-prostimo-cnil/