Secondo i registri federali e le analisi indipendenti sulle violazioni, due terzi delle più grandi violazioni dei dati sanitari nella storia degli Stati Uniti sono state causate da fornitori terzi anziché dagli ospedali.
Questi incidenti legati ai fornitori hanno complessivamente esposto centinaia di milioni di cartelle cliniche di pazienti, tra cui la violazione di 192.7 milioni di cartelle cliniche avvenuta presso Change Healthcare nel 2024, la più grande mai registrata.
Il rapporto di settembre 2025 dell'HIPAA Journal mostra un evidente rallentamento nelle segnalazioni di nuove violazioni. Solo 26 incidenti, che hanno interessato 1.29 milioni di persone, sono stati registrati sul portale dell'Office for Civil Rights (OCR) del Dipartimento della Salute e dei Servizi Umani degli Stati Uniti.
Tuttavia, questo calo non indica un reale calo delle violazioni. A causa della chiusura delle attività del governo federale, l'OCR ha interrotto l'aggiornamento del suo portale pubblico il 24 settembre, ritardando la gestione di numerose segnalazioni in sospeso.
Settembre 2025: il numero più basso di violazioni mensili dal 2018
A fine ottobre, il database dell'OCR elencava 26 incidenti di grandi dimensioni, con un calo del 56% rispetto ai 64 di agosto. I più gravi sono stati gli attacchi ai server di rete del Goshen Medical Center (456,385 interessati) e del Medical Associates of Brevard (246,711 interessati). Solo un evento, che ha coinvolto La Perouse LLC in Nevada, è stato attribuito a un socio in affari.
Anche con dati incompleti, il totale da inizio anno ammonta a 469 violazioni sanitarie di grandi dimensioni, rispetto alle 554 dello stesso periodo del 2024. Ciò indica un ritardo temporaneo nella segnalazione piuttosto che un miglioramento della sicurezza.
Dati storici: i fornitori sono responsabili di due terzi delle violazioni più gravi
Sebbene il campione di settembre propendesse per gli operatori sanitari, i dati a lungo termine rivelano che i fornitori sono responsabili della maggior parte delle violazioni su larga scala. Delle 20 violazioni sanitarie più gravi mai registrate, 13 hanno avuto origine da fornitori come partner commerciali, società di elaborazione della fatturazione e società di analisi.
Tra i casi più noti figurano Welltok, PJ&A, Maximus e HealthEC, tutti compromessi tramite exploit di trasferimento file MOVEit nel 2023. L'attacco ransomware Change Healthcare del 2024, che ha esposto quasi 200 milioni di cartelle cliniche dei pazienti, illustra ulteriormente il rischio sistemico delle dipendenze dai fornitori.
Un singolo fornitore compromesso può interrompere l'elaborazione delle richieste di risarcimento in più ospedali e compagnie assicurative e innescare un'esposizione multi-cliente a livello nazionale nel giro di pochi giorni.
Le più grandi violazioni dei dati sanitari degli Stati Uniti di tutti i tempi
| Anno | Entità | Regione / Stato | Tipo di entità | Individui interessati |
|---|---|---|---|---|
| 2024 | Cambiare l'assistenza sanitaria, Inc. | MN | Socio d'affari | 192,700,000 |
| 2015 | Inno Inc. | IN | Piano Sanitario | 78,800,000 |
| 2023 | Welltok, Inc. | CO | Socio d'affari | 14,782,887 |
| 2024 | Kaiser Foundation Health Plan, Inc. | CA | Piano Sanitario | 13,400,000 |
| 2019 | Optum360, LLC | MN | Socio d'affari | 11,500,000 |
| 2023 | HCA Healthcare | TN | Socio d'affari | 11,270,000 |
| 2015 | Croce Blu Premera | WA | Piano Sanitario | 11,000,000 |
| 2019 | Laboratorio Corporativo d'America (LabCorp) | NC | Provider | 10,251,784 |
| 2015 | Excellus Health Plan, Inc. | NY | Piano Sanitario | 9,358,891 |
| 2023 | PJ&A (Perry Johnson & Associates) | NV | Socio d'affari | 9,302,588 |
| 2023 | Massimo, Inc. | VA | Socio d'affari | 9,179,390 |
| 2023 | Assistenza sanitaria gestita del Nord America | GA | Socio d'affari | 8,627,242 |
| 2014 | Sistemi sanitari comunitari | TN | Provider | 6,121,158 |
| 2023 | PharMerica Corporation | KY | Provider | 5,815,591 |
| 2025 | Sistema sanitario di Yale New Haven | CT | Provider | 5,556,702 |
| 2024 | Salute dell'Ascensione | MO | Provider | 5,466,931 |
| 2025 | Episource, LLC | CA | Socio d'affari | 5,418,866 |
| 2011 | SAIC | VA | Socio d'affari | 4,900,000 |
| 2023 | HealthEC LLC | NJ | Socio d'affari | 4,786,241 |
| 2025 | Scudo blu della California | CA | Socio d'affari | 4,700,000 |
Fonte: US HHS OCR Breach Portal, compilato da HIPAA Journal e indipendente HostScore analisi.
Perché i fornitori restano l'anello debole?
I partner commerciali, inclusi i responsabili dell'elaborazione della fatturazione, i fornitori di hosting dei dati e i fornitori di analisi, rimangono il livello più vulnerabile nell'ecosistema dei dati sanitari. In genere operano al di fuori della supervisione diretta degli ospedali e dei piani sanitari che servono, il che indebolisce l'applicazione della conformità e la visibilità degli incidenti.
I fattori di rischio più comuni includono infrastrutture cloud condivise, server non configurati correttamente, ritardi nell'applicazione delle patch software e monitoraggio limitato delle reti dei subappaltatori. Ognuno di questi fattori crea un punto di ingresso che gli aggressori possono sfruttare su larga scala.
Secondo l'Identity Theft Resource Center (ITRC), le compromissioni da parte di terze parti e della supply chain sono tra le tre principali cause di violazione in tutti i settori industriali statunitensi. Gli operatori di ransomware privilegiano sempre più gli ecosistemi dei vendor, poiché una singola intrusione può diffondersi a cascata attraverso più clienti del settore sanitario, esponendo milioni di cartelle cliniche dei pazienti in un unico attacco coordinato.
Hosting conforme all'HIPAA come prima linea di difesa
L'aumento delle violazioni causate dai fornitori conferma che la sicurezza deve iniziare a livello di hosting, non a livello applicativo. Quando i fornitori di servizi sanitari distribuiscono carichi di lavoro su ambienti cloud condivisi o scarsamente segmentati, una singola configurazione errata o credenziali deboli possono esporre enormi quantità di informazioni sanitarie protette (PHI). Una base di hosting conforme alla conformità protegge i dati sensibili prima che si verifichi qualsiasi interazione con l'applicazione o l'utente.
Per esempio, Atlantic.NetHosting conforme all'HIPAA illustra come un'infrastruttura sicura possa ridurre l'esposizione alle violazioni e semplificare la conformità per i fornitori di servizi sanitari. La piattaforma è SOC 2 and SOC 3 certificato, HIPAA e HITECH verificati e realizzati appositamente per salvaguardare le informazioni sanitarie elettroniche protette (ePHI).
La sua architettura combina:
- Firewall dedicati che bloccano gli accessi non autorizzati e le minacce esterne.
- Archiviazione e trasmissione dei dati crittografate per impedire intercettazioni o manomissioni.
- Ambienti di elaborazione isolati che contengono carichi di lavoro e limitano il movimento laterale.
- Monitoraggio continuo che rileva anomalie in tempo reale.
Integrando questi controlli di sicurezza e conformità a livello di infrastruttura, l'hosting conforme a HIPAA consente ai fornitori di servizi sanitari di soddisfare i mandati federali sulla privacy senza fare affidamento esclusivamente sulle difese software. Eppure HostScoreLe analisi della piattaforma rivelano che la maggior parte dei fornitori opera ancora su stack cloud generici privi di certificazioni verificate, attestazioni di crittografia o percorsi di controllo documentati.
In un ecosistema sanitario interconnesso, l'ambiente di hosting è diventato di fatto il nuovo perimetro di sicurezza. Le piattaforme progettate per la conformità HIPAA rimangono una delle prime linee di difesa più efficaci contro le violazioni dei dati su larga scala.
Key Takeaway
L'apparente calo delle violazioni nel 2025 riflette un ritardo nella segnalazione federale piuttosto che un miglioramento della sicurezza. Oltre dieci anni di dati confermano che due terzi delle principali violazioni dei dati sanitari hanno avuto origine da fornitori terzi.
Con la crescente interconnessione delle reti sanitarie, l'infrastruttura dei fornitori e la verifica della conformità sono diventati essenziali. La vera protezione dei dati inizia a livello di hosting, dove fornitori verificati e allineati all'HIPAA stabilire standard misurabili per salvaguardare le informazioni dei pazienti e mantenere la conformità normativa.
Fonti:
- HIPAA Journal – Rapporto sulla violazione dei dati sanitari di settembre 2025 (22 ottobre 2025)
- Dipartimento della Salute e dei Servizi Umani degli Stati Uniti (HHS) – Portale dell'Ufficio per le violazioni dei diritti civili
- Rapporto sulla violazione dei dati del terzo trimestre 2025 dell'Identity Theft Resource Center (ITRC)
- HostScore analisi dei dati indipendente, ottobre 2025
