Epic sospende sviluppo per affrontare vulnerabilità nei dati dei pazienti

Epic, il gigante dei software per la gestione delle cartelle cliniche, ha annunciato la sospensione della maggior parte dello sviluppo dei suoi prodotti. Questa decisione è stata presa in risposta alla scoperta di vulnerabilità nel suo sistema, che potrebbero consentire accessi non autorizzati ai dati sensibili dei pazienti.

La fondatrice e amministratrice delegata Judy Faulkner ha dichiarato che la pausa durerà circa sei settimane, durante le quali l’azienda si concentrerà sulla messa in sicurezza dei propri sistemi. Il chief security officer Stirling Martin ha evidenziato che alcune configurazioni del sistema MyChart potrebbero permettere a terzi di accedere alle cartelle cliniche senza che tali accessi vengano registrati nei log del software.

Il modello di cybersecurity Mythos di Anthropic ha identificato queste vulnerabilità, spingendo Epic a intervenire. Anche se non è chiaro se la falla possa consentire modifiche ai record senza essere rilevate, il rischio è stato considerato sufficiente per giustificare l’interruzione dello sviluppo.

MyChart gestisce oltre 320 milioni di cartelle cliniche negli Stati Uniti, e sebbene Epic affermi di non avere accesso diretto ai dati medici dei clienti, la possibilità di una vulnerabilità ignota rimane una preoccupazione. La responsabilità per la sicurezza dei dati è attribuita ai fornitori sanitari, ma una falla nel sistema potrebbe compromettere più installazioni.

È piuttosto insolito che un’azienda interrompa lo sviluppo per correggere bug di sicurezza, ma l’emergere di strumenti di intelligenza artificiale capaci di identificare e sfruttare rapidamente le vulnerabilità ha intensificato i timori riguardo a potenziali attacchi informatici più sofisticati.

Le violazioni della sicurezza nel settore sanitario sono in aumento. Nel 2024, un attacco ransomware a Change Healthcare ha portato al furto di dati di oltre 192 milioni di persone, con pagamenti effettuati ai criminali per evitare la pubblicazione. Nel 2026, sono state segnalate ulteriori violazioni che hanno colpito decine di milioni di persone, inclusi incidenti a CareCloud, McKesson e Craneware. Il Dipartimento della Salute e dei Servizi Umani degli Stati Uniti ha indicato la violazione a DentaQuest, che ha coinvolto 15 milioni di persone, come la più grande nel settore sanitario fino ad oggi nel 2026.