Cyberattacchi agli ospedali: Congresso valuta pene più severe, anche terrorismo e omicidio colposo

Un’audizione parlamentare ha riacceso il dibattito su come contrastare gli attacchi ransomware agli ospedali, valutando l’introduzione di pene più severe, inclusa la possibilità di inquadrarli come atti terroristici o perseguibili come omicidio colposo.

Durante un’audizione della Commissione per la Sicurezza Interna della Camera, alcuni legislatori hanno esplorato opzioni per inasprire le sanzioni contro i cybercriminali che prendono di mira le strutture sanitarie. Tra le proposte discusse, spicca l’idea di trattare gli attacchi ransomware come atti di terrorismo, una soluzione già considerata in passato dal Congresso. Un’altra ipotesi prevede di spingere i pubblici ministeri a perseguire penalmente per omicidio colposo gli autori di attacchi che abbiano causato decessi, un approccio già valutato dalle autorità tedesche nel 2020.

Le proposte sono state avanzate da Cynthia Kaiser, ex funzionaria di vertice dell’FBI e ora vicepresidente del Halcyon Ransomware Research Center, durante un’audizione congiunta delle sottocommissioni per la Sicurezza delle Frontiere, l’Applicazione della Legge e la Cybersecurity. Le sue dichiarazioni hanno suscitato interesse e domande tra i membri del Congresso.

«Credo che non esistano pene troppo severe per chi attacca il nostro sistema sanitario»

Il crescente numero di attacchi al settore sanitario, che secondo le statistiche dell’FBI sono raddoppiati da 238 nel 2024 a 460 nel 2025, ha reso la questione urgente. Kaiser ha sottolineato che una designazione come atti terroristici da parte del Dipartimento di Stato, del Tesoro e della Giustizia potrebbe portare a sanzioni aggiuntive, restrizioni di viaggio e altre misure punitive. Inoltre, una guida del Dipartimento di Giustizia sulle accuse di omicidio colposo potrebbe chiarire i poteri investigativi in questi casi.

Lou Correa, deputato democratico della California e membro di spicco della sottocommissione, ha commentato: «Sembra che la normativa esista già, ma non sia stata applicata in questi contesti».

L’idea di collegare più strettamente gli attacchi informatici al terrorismo è stata oggetto di analisi sia da parte del Congresso che dell’amministrazione presidenziale. Il disegno di legge di autorizzazione dei servizi segreti del Senato per il 2025 avrebbe incluso un riferimento diretto tra ransomware e terrorismo, anche se la versione finale approvata è risultata meno esplicita. A marzo, il Dipartimento del Tesoro ha avviato una consultazione pubblica per modificare un programma di assicurazione contro i rischi terroristici, includendo anche le perdite legate al cybercrime.

Uno studio dell’Università del Minnesota del 2023 ha stimato che gli attacchi ransomware agli ospedali siano stati responsabili di decine di decessi tra i pazienti Medicare. Nel 2020, le autorità tedesche hanno aperto un’indagine per omicidio colposo dopo un attacco ransomware che aveva causato una morte, ma alla fine non hanno proceduto con le accuse.

L’amministrazione Trump ha già promosso un approccio più aggressivo contro i cybercriminali, come evidenziato nella strategia nazionale per il cyber 2025 e in un ordine esecutivo sulla criminalità informatica pubblicato lo stesso giorno. Kaiser ha sottolineato che le proposte discusse nell’audizione sono in linea con questa strategia.

«I cybercriminali sanno che i loro attacchi possono costare vite umane, ma hanno semplicemente deciso che queste morti sono un problema di qualcun altro»

, ha dichiarato Kaiser.