Epic sospende lo sviluppo per garantire la sicurezza dei dati dei pazienti

Epic, uno dei principali fornitori di software per la gestione delle cartelle cliniche, ha annunciato la sospensione della maggior parte dello sviluppo dei suoi prodotti. Questa decisione è stata presa per affrontare vulnerabilità di sicurezza identificate nel suo software, che potrebbero mettere a rischio i dati dei pazienti.

La fondatrice e amministratrice delegata dell’azienda, Judy Faulkner, ha dichiarato che la pausa durerà circa sei settimane, durante le quali il team di Epic lavorerà per rafforzare la sicurezza dei propri sistemi. La decisione segue il rilascio del modello di cybersecurity Mythos di Anthropic, che ha messo in evidenza potenziali falle di sicurezza.

Il chief security officer di Epic, Stirling Martin, ha avvertito che alcune configurazioni del servizio MyChart potrebbero consentire a terzi di accedere alle cartelle cliniche senza che tali accessi vengano registrati nei log del software. Sebbene il modello di intelligenza artificiale non abbia fornito chiare indicazioni sulla possibilità di alterare i record senza rilevamento, il rischio è stato ritenuto abbastanza significativo da giustificare un intervento immediato.

MyChart gestisce oltre 320 milioni di cartelle cliniche negli Stati Uniti, e Epic ha sottolineato di non avere accesso diretto ai dati medici, responsabilità che ricade sui fornitori sanitari. Tuttavia, una vulnerabilità sconosciuta potrebbe consentire a malintenzionati di compromettere più installazioni e sottrarre dati sensibili.

È raro che un’azienda interrompa lo sviluppo per correggere bug di sicurezza, ma l’emergere di strumenti di intelligenza artificiale in grado di identificare e sfruttare rapidamente le vulnerabilità ha accresciuto le preoccupazioni riguardo a potenziali attacchi informatici più sofisticati. Le violazioni dei dati nel settore sanitario sono in aumento: nel 2024, un attacco ransomware a Change Healthcare ha portato al furto di dati di oltre 192 milioni di persone, con pagamenti effettuati ai criminali per evitare la pubblicazione di tali informazioni. Nel 2026, sono state segnalate ulteriori violazioni che hanno coinvolto decine di milioni di persone, tra cui incidenti a CareCloud, McKesson e Craneware. Il Dipartimento della Salute e dei Servizi Umani degli Stati Uniti ha indicato la violazione a DentaQuest, che ha coinvolto 15 milioni di persone, come la più grave nel settore sanitario fino ad oggi nel 2026.