Epic sospende lo sviluppo per risolvere vulnerabilità nei dati dei pazienti

Epic, un leader nel settore della gestione dei dati sanitari, ha annunciato la sospensione della maggior parte dello sviluppo dei suoi prodotti. La decisione è stata presa per affrontare vulnerabilità di sicurezza recentemente identificate, che potrebbero consentire accessi non autorizzati ai dati dei pazienti.

Questa pausa nello sviluppo, che si prevede durerà circa sei settimane, è stata comunicata dalla fondatrice e amministratrice delegata Judy Faulkner. Durante questo periodo, l’azienda si concentrerà sulla messa in sicurezza dei propri sistemi e software.

Il chief security officer di Epic, Stirling Martin, ha rivelato che alcune configurazioni dei clienti di MyChart, il sistema di gestione delle cartelle cliniche dell’azienda, potrebbero permettere a terzi di accedere ai dati senza che tali accessi vengano registrati nei log del software. Sebbene il modello di intelligenza artificiale utilizzato non abbia chiarito se la vulnerabilità potesse anche consentire modifiche non rilevate ai record, il rischio è stato ritenuto sufficiente per giustificare l’intervento.

MyChart gestisce oltre 320 milioni di cartelle cliniche negli Stati Uniti, e Epic ha sottolineato di non avere accesso diretto ai dati medici, responsabilità che ricade sui fornitori sanitari. Tuttavia, una vulnerabilità sconosciuta potrebbe comunque mettere a rischio i dati di più installazioni.

È raro che un’azienda decida di fermare lo sviluppo per affrontare problemi di sicurezza, ma l’emergere di strumenti di intelligenza artificiale capaci di identificare e sfruttare rapidamente le vulnerabilità ha sollevato preoccupazioni su attacchi più sofisticati e devastanti.

Le violazioni dei dati nel settore sanitario sono in aumento. Nel 2024, un attacco ransomware ha colpito Change Healthcare, portando al furto di dati di oltre 192 milioni di persone, con i criminali che hanno ricevuto pagamenti per evitare la pubblicazione di tali informazioni. Nel 2026, si sono verificati ulteriori incidenti che hanno coinvolto decine di milioni di persone, tra cui attacchi a CareCloud, McKesson e Craneware. Il Dipartimento della Salute e dei Servizi Umani degli Stati Uniti ha anche segnalato una violazione a DentaQuest, che ha interessato 15 milioni di persone, come una delle più gravi nel settore sanitario per l’anno in corso.

La decisione di Epic di sospendere lo sviluppo per affrontare queste vulnerabilità evidenzia l’importanza della sicurezza dei dati nel settore sanitario e la necessità di misure proattive per proteggere le informazioni sensibili dei pazienti.