Abbott, due incidenti e due gruppi: cosa l'azienda conferma e cosa gli attaccanti rivendicano

Il riscatto senza cifratura

Per anni "ransomware" ha significato una cosa precisa: i file vengono cifrati, e per riaverli si paga. Oggi una fetta crescente delle estorsioni salta la cifratura e va dritta al punto: rubare i dati e minacciare di pubblicarli. È il modello di ShinyHunters, il gruppo che ha inserito Abbott Laboratories nel proprio leak site. Non c'è un impianto fermo, non c'è una schermata rossa: c'è un conto alla rovescia e la minaccia di far uscire quello che si è portato via. Mettiamo il caso in questa sezione proprio per questo — è la faccia dell'estorsione moderna — ma con una regola in testa: tenere separati i fatti che Abbott conferma dalle rivendicazioni del gruppo.

Cosa conferma Abbott

Il 17 luglio 2026 Abbott ha pubblicato uno statement ufficiale, a cui l'azienda ha rimandato quando interpellata. Le parole sono misurate. Abbott dichiara di indagare su un incidente informatico con accesso non autorizzato a un numero limitato di sistemi interni nel solo business Cancer Diagnostics. Aggiunge che l'incidente non impatta operazioni, prodotti, disponibilità, produzione o attività di laboratorio, né la capacità di servire i pazienti; che non ha toccato altri business o sistemi di Abbott; e che i sistemi legacy di Exact Sciences coinvolti sono separati da quelli di Abbott. L'azienda ha attivato le procedure di risposta, ingaggiato esperti di sicurezza e allertato le forze dell'ordine, e non si aspetta un impatto rilevante sui risultati finanziari.

1. 01
   Vishing su alcuni dipendenti

   telefonate, non un exploit tecnico (rivendicato)
2. 02
   Account SSO Microsoft Entra compromesso

   l'ingresso alle applicazioni collegate (rivendicato)
3. 03
   Furto dati e minaccia di pubblicazione

   il conto alla rovescia dell'estorsione

Cosa rivendica il gruppo — e non è confermato

Qui cambia il registro, e va segnalato. Secondo quanto ShinyHunters ha dichiarato a BleepingComputer, l'accesso sarebbe partito a metà giugno da un attacco di vishing — phishing vocale, telefonate — verso più dipendenti di Abbott, che avrebbe permesso di compromettere un account single sign-on Microsoft Entra e di raggiungere i sistemi interni. Il gruppo afferma di aver sottratto dati da Entra, ServiceNow, SharePoint, Databricks e Coupa: oltre 30 milioni di righe di dati personali (nomi, email, telefoni, indirizzi, date di nascita) e più di un milione di codici fiscali statunitensi, oltre a 22 milioni di note cliniche con conversazioni medico-paziente e 20 milioni di ordini medici. Sono cifre del gruppo. BleepingComputer scrive esplicitamente di non averle verificate in modo indipendente, e noi facciamo lo stesso: le riportiamo come rivendicazioni, non come fatti accertati.

Il profilo dell'attaccante aiuta a leggere il caso. ShinyHunters, da oltre un anno, conduce campagne di ingegneria sociale che puntano agli account SSO aziendali — Entra, Okta, Google — per poi rubare dati dalle applicazioni SaaS collegate. Il gruppo ha preso di mira sempre più il settore medtech, con nomi come Medtronic, OneMedical e AdaptHealth tra quelli riportati. È un modus operandi in cui l'anello iniziale non è una vulnerabilità software, ma una persona convinta al telefono.

Il secondo incidente, e il disaccordo

C'è poi un secondo attore, ShadowByt3$, che ha contattato BleepingComputer sostenendo di aver violato il business Core Laboratory di Abbott attraverso il portale clienti LabCentral, usando credenziali cliente compromesse, con accesso il 4 luglio ed esfiltrazione lenta tramite endpoint API. Il gruppo rivendica certificati di produzione CE, manuali operativi, specifiche tecniche e documentazione regolatoria. Abbott conferma di essere al corrente di un "potenziale" incidente ma contesta la descrizione dei dati: dice che LabCentral è un portale esterno ospitato da terzi, con documentazione tecnica di prodotto pubblicamente disponibile — manuali, checklist, specifiche — e senza informazioni proprietarie o sensibili di clienti o business.

Perché il metodo è la notizia

Al momento in cui scriviamo, né ShinyHunters né ShadowByt3$ hanno pubblicato i dati che dicono di avere. Questo lascia in piedi due verità parallele: l'azienda conferma un accesso limitato e circoscritto, il gruppo rivendica un bottino enorme. Entrambe possono coesistere per ragioni banali — un'estorsione funziona meglio se il numero è grande — e la distanza tra le due si chiude solo con prove che, oggi, non ci sono.

Gli ID MITRE in testa a questo dossier — vishing, account validi, esfiltrazione via servizio web — sono una nostra mappatura ragionata del modus operandi come è stato riferito, non ID copiati da un advisory ufficiale: qui non c'è un bollettino d'agenzia, ci sono la conferma dell'azienda e il resoconto di una testata specializzata. Il valore del caso, per chi legge, non è il conteggio dei record: è il promemoria che l'ingresso più efficace resta una telefonata ben fatta, e che la difesa comincia da lì — dalla verifica di chi chiama e dalla resistenza al phishing dei secondi fattori, non dall'ennesimo firewall.