Veradigm: breach da vendor API espone milioni di record pazienti

Veradigm ha reso pubblica il 9 settembre 2026 una violazione dei dati dei pazienti causata da un incidente di sicurezza informatica presso un vendor di terze parti. L'attaccante ha ottenuto credenziali dall'ambiente di un vendor per un'API Veradigm riservata ai servizi clienti, utilizzando l'accesso per copiare dati dei pazienti. La disclosure arriva dopo che il gruppo ransomware The Gentlemen ha rivendicato l'intrusione il 5 settembre e minacciato la pubblicazione di 3,5 milioni di record.

Come è entrati: l'API con accesso "limitato" che non lo era abbastanza

Secondo il SEC filing citato dalla fonte, le credenziali compromesse del vendor fornivano accesso "solo attraverso quell'interfaccia limitata" e non alla rete più ampia, ai server, ai database o ad altri sistemi dell'azienda. Questa architettura riflette un modello di sicurezza perimetrale classico: il vendor opera in una zona isolata, con privilegi circoscritti.

L'evidenza del breach mostra i limiti strutturali di questo approccio. Un'API di servizio clienti — anche con scope tecnicamente ristretto — può esporre dati sensibili in volume quando il dataset sottostante è ricco e la query è selettiva. L'attaccante non ha avuto bisogno di muoversi lateralmente né di compromettere l'EHR: ha semplicemente usato l'accesso API per copiare i dati accessibili attraverso quell'interfaccia.

"The vendor's compromised credentials provided access only through that limited interface and did not provide access to any other part of the Company's environment, including the Company's broader network, servers, databases, or other systems"

Il conto dei danni: 3,5 milioni di record secondo il gruppo, zero conferme ufficiali

The Gentlemen afferma di detenere 3,5 milioni di record di pazienti con nomi completi, indirizzi di casa, SSN, indirizzi email, numeri di telefono e PII di garanti. Questa cifra non è stata confermata da Veradigm, che nel SEC filing si limita a riferire di "alcuni pazienti" e di un "numero limitato di clienti" interessati. La discrepanza tra la rivendicazione criminale e la valutazione aziendale è significativa: per i pazienti, anche un singolo record esposto di SSN apre scenari di frode d'identità e social engineering.

Il gruppo ha elencato Veradigm sul proprio sito di data leak il 5 settembre 2026, con una scadenza fissata per il 11 settembre. La fonte non documenta se i dati siano stati effettivamente pubblicati in quella data, né se Veradigm abbia intrapreso o meno una negoziazione.

The Gentlemen: profilo di un attore in espansione

The Gentlemen è emerso intorno alla metà del 2025 e opera con un modello di double-extortion: furto di dati combinato con crittografia su sistemi Windows, Linux, NAS, BSD ed ESXi. Sul proprio sito di data leak, la gang ha elencato più di 800 vittime da 86 paesi e vari settori.

L'attività del gruppo ha mostrato evoluzione tecnica negli ultimi mesi. Ad aprile 2026, Check Point ha riportato di aver scoperto una botnet proxy malware SystemBC con più di 1.500 host collegata a un affiliato di The Gentlemen. A giugno 2026, ESET ha riferito che il gruppo stava impiegando un nuovo EDR killer denominato GentleKiller. Questi elementi indicano un attore con risorse per la post-compromise e la difesa attiva contro strumenti di rilevazione, anche se il brief non stabilisce se queste tecniche siano state impiegate nell'incidente Veradigm.

Perché è importante

Il dossier non specifica la tecnica utilizzata per ottenere le credenziali vendor: non è chiaro se phishing, brute force o altro vettore. Il brief non documenta misure correttive specifiche adottate da Veradigm oltre alle procedure standard di risposta agli incidenti, notifica e monitoraggio del credito offerto dove applicabile.

Il caso evidenzia un paradosso ricorrente nella cybersecurity healthcare: le valutazioni di impatto aziendale non coincidono con l'esposizione effettiva dei soggetti i cui dati sono stati compromessi. Veradigm afferma che l'incidente non è ragionevolmente probabile che influisca materialmente sul business, sulle operazioni, sulla condizione finanziaria o sui risultati. Questa dichiarazione — coerente con l'obbligo di disclosure SEC — non misura l'impatto sui pazienti che vedono il proprio SSN esposto a un mercato criminale.

La fonte non identifica il vendor di terze parti coinvolto, né chiarisce se la compromissione abbia riguardato esclusivamente il furto di dati o includesse anche una fase di crittografia dei sistemi. Rimane inoltre non documentato se Veradigm abbia pagato o intenda pagare un riscatto.

Il divario tra disclosure regolatoria e rischio paziente

L'incidente Veradigm si colloca in una traiettoria più ampia: i gruppi ransomware targetizzano i vendor di terze parti per aggirare le difese perimetrali delle organizzazioni healthcare. L'accesso "limitato" di un API di servizio clienti si è rivelato sufficiente per l'esfiltrazione selettiva di PII su scala milionaria, secondo la rivendicazione del gruppo.

Per il settore, il caso solleva questioni non risolvibili nel brief: come valutare il rischio residuo di un'API il cui scope è formalmente ristretto ma il cui dataset è densamente informativo; come allineare la disclosure SEC, centrata sull'impatto materiale sull'emittente, con la realtà dell'esposizione dei titolari dei dati.

Il 9 settembre 2026, con la scadenza del 11 settembre imminente o già trascorsa, la verifica del fatto della pubblicazione rimane un punto aperto. La fonte non fornisce aggiornamenti successivi alla rivendicazione iniziale.

Fonti

• https://www.bleepingcomputer.com/news/security/veradigm-discloses-patient-data-breach-after-gentlemen-gang-claims-attack/
• https://research.checkpoint.com/2026/7th-september-threat-intelligence-report/
• https://thehackernews.com/2026/09/trezor-says-shipmonk-breach-exposed.html
• https://www.infosecurity-magazine.com/news/healthcare-mckesson-investigates/
• https://blog.netmanageit.com/veradigm-warns-of-patient-data-breach-after-ransomware-gang-claims-attack/
• https://www.bleepingcomputer.com/
• https://www.bleepingcomputer.com/tutorials/
• https://www.bleepingcomputer.com/download/
• https://deals.bleepingcomputer.com/