Epic sospende lo sviluppo per garantire la sicurezza dei dati dei pazienti

Epic, uno dei principali fornitori di software per la gestione dei dati sanitari, ha annunciato la sospensione della maggior parte dello sviluppo dei suoi prodotti per affrontare vulnerabilità di sicurezza emerse di recente. Questa decisione è stata presa in risposta all’individuazione di potenziali falle nel sistema da parte del modello di cybersecurity Mythos di Anthropic, che ha sollevato preoccupazioni riguardo alla protezione dei dati dei pazienti.

La fondatrice e amministratrice delegata di Epic, Judy Faulkner, ha dichiarato che la pausa nello sviluppo dovrebbe durare circa sei settimane. Durante questo periodo, l’azienda si concentrerà sulla messa in sicurezza dei suoi prodotti e sull’implementazione delle necessarie correzioni.

Il chief security officer di Epic, Stirling Martin, ha evidenziato che alcune configurazioni dei clienti di MyChart potrebbero permettere a terzi di accedere alle cartelle cliniche senza che tale intrusione venga registrata nei log del software. Sebbene il modello di intelligenza artificiale non abbia chiarito se la vulnerabilità consentisse anche di alterare i record senza rilevamento, il rischio è stato considerato sufficiente per giustificare un intervento immediato.

MyChart gestisce oltre 320 milioni di cartelle cliniche negli Stati Uniti. Epic ha sottolineato di non avere accesso diretto ai dati medici dei clienti, responsabilità che ricade sui fornitori sanitari. Tuttavia, una vulnerabilità non identificata potrebbe consentire a malintenzionati di compromettere più installazioni e sottrarre dati sensibili.

È piuttosto insolito che un’azienda decida di fermare lo sviluppo dei propri prodotti per risolvere problemi di sicurezza. Tuttavia, l’emergere di strumenti di intelligenza artificiale in grado di identificare e sfruttare rapidamente le vulnerabilità ha accresciuto i timori riguardo a potenziali attacchi più sofisticati e devastanti.

Le violazioni dei dati nel settore sanitario sono in costante aumento. Nel 2024, un attacco ransomware a Change Healthcare ha portato al furto di dati sanitari di oltre 192 milioni di persone, con pagamenti effettuati ai criminali per evitare la pubblicazione delle informazioni rubate. Nel 2026, sono state segnalate ulteriori violazioni che hanno colpito decine di milioni di persone, inclusi incidenti a CareCloud, McKesson e Craneware. Il Dipartimento della Salute e dei Servizi Umani degli Stati Uniti ha indicato la violazione a DentaQuest, che ha coinvolto 15 milioni di persone, come la più ampia nel settore sanitario fino ad oggi nel 2026.

La decisione di Epic di sospendere lo sviluppo dei suoi prodotti per affrontare queste vulnerabilità evidenzia l’importanza di garantire la sicurezza dei dati nel settore sanitario, un settore che continua a essere un obiettivo primario per gli attaccanti informatici.