Epic sospende lo sviluppo per proteggere i dati dei pazienti da vulnerabilità informatiche

Epic, uno dei principali fornitori di software per la gestione delle cartelle cliniche, ha annunciato la sospensione della maggior parte dello sviluppo dei suoi prodotti. Questa decisione è stata presa per affrontare vulnerabilità di sicurezza che potrebbero mettere a rischio i dati dei pazienti. La fondatrice e amministratrice delegata, Judy Faulkner, ha dichiarato che la pausa dovrebbe durare circa sei settimane, durante le quali l’azienda lavorerà per mettere in sicurezza i propri sistemi.

La decisione di Epic segue il rilascio del modello di cybersecurity Mythos di Anthropic, che ha identificato potenziali falle nel software. Secondo Stirling Martin, chief security officer di Epic, alcune configurazioni dei clienti di MyChart potrebbero consentire a terzi di accedere alle cartelle cliniche senza che l’intrusione venga registrata nei log del software. Sebbene il modello di intelligenza artificiale non abbia chiarito se la vulnerabilità consentisse anche di alterare i record senza rilevamento, il rischio è stato ritenuto sufficientemente grave da richiedere un intervento immediato.

MyChart gestisce oltre 320 milioni di cartelle cliniche negli Stati Uniti. Epic ha sottolineato di non avere accesso diretto ai dati medici dei clienti, responsabilità che spetta ai fornitori sanitari. Tuttavia, una vulnerabilità sconosciuta potrebbe comunque consentire a malintenzionati di compromettere più installazioni e sottrarre dati sensibili.

È raro che un’azienda decida di fermare lo sviluppo per risolvere bug di sicurezza, ma l’emergere di strumenti di intelligenza artificiale capaci di identificare e sfruttare rapidamente le vulnerabilità ha accresciuto le preoccupazioni riguardo a possibili attacchi informatici più sofisticati. Le violazioni nel settore sanitario sono in aumento: nel 2024, un attacco ransomware a Change Healthcare ha portato al furto di dati di oltre 192 milioni di persone, con pagamenti ai criminali per evitare la pubblicazione. Nel 2026, si sono registrate ulteriori violazioni che hanno coinvolto decine di milioni di persone, tra cui incidenti a CareCloud, McKesson e Craneware. Il Dipartimento della Salute e dei Servizi Umani degli Stati Uniti ha indicato la violazione a DentaQuest, che ha colpito 15 milioni di persone, come la più ampia nel settore sanitario fino ad oggi nel 2026.