La ricerca clinica farmaceutica è uno degli ambiti più esposti ai rischi di cyberatacchi, non solo per il valore dei dati trattati ma anche per la complessità della rete di soggetti coinvolti nei trial clinici. La maggior parte delle violazioni nasce da errori umani, credenziali compromesse o vulnerabilità non corrette, più che da attacchi particolarmente sofisticati.
Una singola violazione può compromettere dati sensibili, proprietà intellettuale e risultati scientifici, con ripercussioni sullo sviluppo di nuove terapie. Per questo la sicurezza informatica non deve essere vista come ostacolo alla ricerca, ma come condizione essenziale per garantirne qualità, affidabilità e continuità.
Una violazione in sanità costa in media 7,42 milioni di dollari. Gli attaccanti restano dentro i sistemi per 279 giorni prima di essere identificati, più di nove mesi di accesso indisturbato. Nel 2025 si contano 1.492 incidenti sanitari con dati esfiltrati.
A livello globale gli attacchi sono cresciuti del 30% rispetto al 2024, cinque volte i livelli del 2020 (fonti: IBM/Ponemon 2025, Verizon DBIR 2026, Clusit 2026). Sono numeri che fotografano un’emergenza strutturale. Il settore con il rischio più sottovalutato è quello della ricerca clinica farmaceutica. Per capire perché, bisogna riferirsi al funzionamento dei trial clinici.
Vulnerabilità nei trial clinici
Un singolo trial di fase III coinvolge decine di ricercatori distribuiti in ospedali di paesi diversi, team universitari, CRO esterne, sponsor farmaceutici, enti regolatori. Spesso si scambiano file attraverso canali non governati dall’IT, spesso senza avere una visione completa di chi ha accesso a cosa.
I dati prodotti sono tra le categorie di informazioni più sensibili che esistano: dataset di pazienti soggetti al GDPR, proprietà intellettuale ad alto valore economico, risultati sperimentali che, se alterati o sottratti prima della pubblicazione, possono compromettere la validità scientifica di uno studio o alimentare frodi regolatorie.
Il danno non è solo economico: in certi casi si traduce in ritardi nello sviluppo di terapie. E a rendere il quadro più preoccupante è che il rischio non arriva da dove si immagina.
Il vettore di rischio reale non è l’hacker sofisticato. Il 54% dei breach sanitari è causato dalla componente umana, come dipendenti che cliccano su link malevoli, che cadono nel phishing, che mandano allegati con informazioni sensibili sbagliando destinatario.
Nel 32% dei casi è colpa di terze parti, un fornitore mal protetto che diventa la porta d’ingresso. I vettori di accesso iniziale più comuni sono vulnerabilità note non patchate, credenziali rubate, phishing. Nessuno di questi è fantascienza tecnica. Sono errori, distrazioni, processi non controllati.
Il caso Inotiv è emblematico. In agosto 2025, il gruppo ransomware Qilin ha violato i sistemi di una delle principali società di ricerca a contratto statunitensi, estirpato 176 GB di dati e cifrato parte della rete. Nel corpus sottratto c’erano report completi sullo sviluppo di decine di farmaci in pipeline, dati appartenenti a centinaia di clienti biotech e farmaceutici diversi.
Una sola violazione con un numero imprecisato di vittime. Questo è il moltiplicatore di rischio specifico della ricerca farmaceutica: chi attacca un nodo della supply chain scientifica non colpisce un’azienda, colpisce un ecosistema. Considerato il rischio enorme con cui il settore deve confrontarsi, chi gestisce i trial clinici deve essere consapevole di quanto è esposto, delle procedure e dei processi più vulnerabili e di cosa può aprire un varco a un’intrusione esterna o favorire un errore involontario.
Domande concrete
Prima di scegliere una soluzione tecnologica, chi gestisce o finanzia un trial clinico dovrebbe rispondere ad alcune domande. Se un collaboratore esterno lascia il progetto domani, quanto tempo ci vuole per revocare completamente il suo accesso ai dati? In caso di ispezione di Aifa o Ema, siete in grado di produrre un log verificabile di chi ha aperto quale documento e quando? I dati circolano esclusivamente su canali governati dall’IT o anche via e-mail personali e servizi cloud non approvati? Non sono domande retoriche. In gran parte dei casi, la risposta onesta rivela un’esposizione molto più ampia di quella percepita. Eppure, la soluzione non è necessariamente complessa.
La sicurezza non compete con la ricerca: la rende possibile
C’è una resistenza comprensibile, negli ambienti della ricerca clinica, all’introduzione di strumenti di sicurezza: si teme che rallentino il lavoro, che i ricercatori non li adottino.
È una preoccupazione legittima, ma superabile scegliendo soluzioni progettate per adattarsi ai flussi di lavoro esistenti, non per sostituirli. Proteggere i dati di ricerca non è in contrasto con la produttività scientifica.
È ciò che garantisce che il lavoro svolto mantenga la sua validità, che i risultati non vengano compromessi prima della pubblicazione, che gli enti coinvolti possano dimostrare la propria conformità a regolatori e partner internazionali. Il settore farmaceutico ha investito enormemente nella qualità della ricerca. È il momento d’investire con la stessa serietà nella protezione di ciò che quella ricerca produce.
