DaVita: 15 milioni di dollari di settlement per il ransomware del 2025

La corte federale del Colorado ha concesso l'approvazione preliminare il 21 agosto 2026 a un accordo fino a 15 milioni di dollari per chiudere la class action Julian Jenkins, et al v. DaVita Inc., caso n. 1:25-cv-01358. L'azione civile nasce dall'attacco ransomware del 12 aprile 2025, quando il gruppo Interlock ha compromesso i sistemi del secondo operatore di dialisi degli Stati Uniti. I numeri in gioco disegnano uno scarto netto tra la giustizia compensatoria e i costi economici reali: l'azienda ha già sostenuto 25 milioni di dollari di spese operative per l'incidente, quasi il doppio del cap della transazione civile.

I numeri del danno: quando il leak supera il riscatto mancato

L'attacco del 12 aprile 2025 ha seguito il modello della doppia estorsione: esfiltrazione massiva prima della cifratura dei sistemi. Secondo l'analisi di HIPAA Journal, basata sui dati dell'investigazione forense, Interlock ha sottratto oltre 20 terabyte di informazioni da DaVita. Quando il pagamento non è avvenuto — la fonte non specifica se l'azienda abbia rifiutato, negoziato o semplicemente ignorato la richiesta — il gruppo ha pubblicato circa 1,5 terabyte sul proprio sito di leak. La discrepanza tra volume sottratto e volume reso pubblico suggerisce che una quota residua di dati resti nelle mani dell'attore, con potenziale ricatto differito o vendita secondaria non documentata nei dossier disponibili.

I dati esposti, dettagliati nelle notifiche e nei documenti di settlement, includono: nomi, indirizzi, Social Security Number, informazioni assicurative sanitarie, dati clinici come diagnosi, storia dei trattamenti e risultati di laboratorio, informazioni fiscali e, in alcuni casi, fotografie di assegni. L'insieme costituisce un profilo identitario completo di una popolazione cronica — i pazienti dializzati — caratterizzata da alta vulnerabilità sanitaria e da una dipendenza strutturale dai sistemi informativi per la sopravvivenza. A differenza di una carta di credito, queste informazioni non sono annullabili o sostituibili.

La struttura del settlement: non-reversionary e pro rata

L'accordo sigla un fondo di 15 milioni di dollari con clausola non-reversionary: l'importo non riscosso dai membri della classe non torna a DaVita, ma viene redistribuito o destinato a benefici collaterali secondo meccanismi tipici delle class action su data breach. Dopo la rimozione dei costi legali e amministrativi, circa 10 milioni di dollari restano per i pagamenti diretti.

La distribuzione segue una struttura a due livelli. I membri della classe che documentano perdite concrete — spese per frode, tempi di risoluzione, costi di protezione creditizia non coperti — possono richiedere fino a 2.500 dollari ciascuno. Chi non presenta documentazione riceve circa 50 dollari pro rata, con la cifra effettiva variabile in base al tasso di partecipazione. A entrambe le categorie è offerto il monitoraggio del credito per tre anni presso un singolo bureau. La fonte non specifica quale bureau né se l'offerta sia estensibile a più agenzie di credito.

"Interlock claimed to have exfiltrated more than 20 terabytes of data and proceeded to leak around 1.5 terabytes of that data on its web data leak site when the ransom was not paid." — HIPAA Journal

Il divario tra giustizia civile e costo d'impresa

MedTech Dive riporta che l'attacco ransomware è costato a DaVita 25 milioni di dollari nel solo 2025. La cifra, isolata in questa fonte e non replicata negli altri dossier, include probabilmente costi di risposta all'incidente, recupero sistemi, consulenze forensi, notifiche normative e possibili interventi di hardening infrastrutturale. Il confronto con i 15 milioni del settlement civile è netto: la giustizia compensatoria copre al massimo il 60 per cento dei costi operativi già sostenuti, e nulla dei danni intangibili subiti dai pazienti.

DaVita, attraverso un portavoce citato da MedTech Dive, ha dichiarato: "We understand the importance of safeguarding personal information... We responded promptly to this attack and remain focused on strengthening our cybersecurity defenses." L'azienda non ammette responsabilità o colpa: i termini del settlement, ripresi da HIPAA Journal, recitano esplicitamente "no admission of liability or wrongdoing by DaVita". Questa formula è standard nelle transazioni civili americane, ma solleva la questione se la mancanza di ammissione precluda cambiamenti strutturali nella gestione del rischio.

Perché è importante

Il caso DaVita si inserisce in un pattern ricorrente: i provider di dialisi sono target privilegiati dei ransomware per la combinazione di dati sanitari ad alto valore, infrastrutture IT essenziali ai trattamenti e popolazione paziente con scarsa mobilità di mercato. Il gruppo Interlock, identificato come attore a motivazione finanziaria con riferimento H-ISAC in MedTech Dive, ha colpito un settore dove l'interruzione dei sistemi non è un disagio amministrativo ma un rischio vitale.

Non emergono, allo stato attuale, sovrapposizioni infrastrutturali che colleghino questo specifico attacco a campagne attribuite a stati-nazione o a gruppi sotto sanzioni. Il dossier non documenta indagini parallele da parte di HHS OCR o altri regolatori federali, né sanzioni amministrative HIPAA. L'assenza di enforcement regolatorio confermato lascia interrogativi su quale deterrenza reale operi oltre il risarcimento civile.

La data dell'udienza per l'approvazione finale non è fissata: le fonti indicano febbraio 2027 o oltre. Fino a quel momento, i membri della classe possono presentare claim o escludersi dall'accordo. Il brief non specifica quante cause individuali siano state consolidate nella class action: MedTech Dive menziona "10 o più", ma la cifra non è verificata in altre fonti.

Per i pazienti, l'esposizione di dati sanitari non cancellabili comporta un rischio duraturo di furto d'identità e frode sanitaria che nessun pagamento pro rata può compensare. Per il settore, il messaggio è che il costo del ransomware supera sistematicamente il cap delle class action, trasformando il settlement in una voce di costo assicurativo piuttosto che in un segnale di cambiamento.

Domande frequenti

Quando verrà pagato il settlement?

L'udienza per l'approvazione finale è prevista non prima del 2027. Solo dopo l'approvazione definitiva inizierà il processo di presentazione dei claim e di distribuzione dei fondi.

Posso ricevere più di 50 dollari senza documentare perdite?

No. I pagamenti pro rata senza prova di danno sono stimati intorno a 50 dollari e variano in base al numero effettivo di partecipanti. La cifra non è garantita.

DaVita ha pagato il riscatto?

Il dossier non conferma né nega che DaVita abbia pagato il riscatto. È noto che Interlock ha pubblicato dati sul leak site, il che in genere avviene in caso di mancato pagamento, ma le circostanze specifiche non sono documentate.

Fonti

• https://tech-insider.org/davita-15-million-data-breach-settlement-2026/
• https://www.harmreport.com/news/davita-data-breach-settlement-preliminary-approval/
• https://www.hipaajournal.com/davita-data-breach-settlement/
• https://www.classaction.org/news/up-to-15m-davita-settlement-wraps-up-class-action-suit-over-april-2025-data-breach
• https://www.medtechdive.com/news/davita-agrees-to-pay-15m-to-settle-claims-from-data-breach/829452/
• https://tech-insider.org/french-hospital-cnil-fine-727k-records-2026/

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti