Chi era già ricoverato quando sono entrati: cosa misura uno studio sul ransomware negli ospedali

Il problema di misurare una cosa ovvia

Chiunque lavori in un ospedale sa cosa succede quando i sistemi si fermano: si torna alla carta, si rallenta, si rimanda ciò che si può rimandare. Il salto difficile è un altro: dimostrare che quel rallentamento si traduce in esiti clinici peggiori, e di quanto.

È difficile per una ragione metodologica. Gli ospedali che vengono attaccati non sono un campione casuale, i pazienti che arrivano durante un attacco non sono uguali a quelli di una settimana qualunque, e l'ospedale in crisi tende a rifiutare i casi complessi, che vengono dirottati altrove. Se ci si limita a confrontare la mortalità prima e dopo, si finisce per misurare il triage invece dell'attacco.

Lo studio Hacked to Pieces? — Hannah Neprash, Claire McGlave e Sayeh Nikpay, pubblicato nel 2026 sull'American Economic Journal: Economic Policy (volume 18, numero 1, pagine 256-281) — aggira il problema costruendo un archivio degli attacchi ransomware agli ospedali e collegandolo ai dati amministrativi di Medicare, il programma sanitario federale statunitense per gli over 65.

I due numeri

Il primo riguarda l'ospedale. Nella settimana dell'attacco, il volume di attività cala del 17-24%. Il recupero avviene entro circa tre settimane. È la misura di quanto un ospedale si restringe quando perde i propri sistemi: meno ricoveri, meno procedure, meno pazienti presi in carico.

Il secondo riguarda i pazienti. Fra chi era già ricoverato nel momento in cui l'attacco comincia, la mortalità intraospedaliera aumenta del 34-38%.

La scelta di guardare chi era già dentro è la parte intelligente del lavoro, ed è ciò che rende il numero difendibile. Quei pazienti erano stati ammessi prima dell'attacco: la loro composizione non è stata alterata dal triage difensivo dei giorni successivi. Non sono stati dirottati altrove, non sono stati selezionati. Erano lì, e poi l'ospedale intorno a loro ha smesso di funzionare come prima.

Come si legge un aumento del 34-38%

Serve una cautela, e va detta prima di ogni uso pubblicistico del numero. Si tratta di un aumento relativo, non assoluto. Se la mortalità di base in un dato reparto è bassa, un aumento del 34% resta un numero piccolo in valore assoluto; dove è alta, diventa grande. Un aumento relativo non dice quante persone: dice quanto peggiora la probabilità per chi si trova in quella condizione.

Vanno dichiarati anche i limiti di trasferibilità. Lo studio è costruito su ospedali statunitensi e su dati Medicare, quindi su una popolazione anziana e su un sistema sanitario con caratteristiche proprie. Non esiste, per quanto ci risulta, uno studio equivalente sul Servizio sanitario nazionale italiano: applicare direttamente queste percentuali a un ospedale italiano sarebbe un salto che i dati non autorizzano. Il meccanismo — sistemi fermi, cartelle non consultabili, diagnostica rallentata, terapie somministrate su carta — non ha però ragioni evidenti per essere diverso.

Perché questo cambia la conversazione sul riscatto

La discussione pubblica sul ransomware ruota da anni intorno alla stessa domanda: pagare o non pagare. È una domanda che tratta l'attacco come un problema economico, dove le grandezze in gioco sono euro, giorni di fermo e costi di ripristino.

Quando la vittima è un ospedale, quella contabilità è incompleta per costruzione. Il fermo non produce solo un costo: produce un esito. E l'esito, secondo questo studio, riguarda in modo particolare le persone che non possono andarsene — chi è già ricoverato, chi è in un percorso di cura iniziato, chi non ha la possibilità di rivolgersi altrove.

Non ne discende automaticamente una risposta sul riscatto. Ne discende però che, per una struttura sanitaria, i piani di continuità non sono una voce amministrativa: sono un presidio clinico. La domanda giusta non è "in quanto tempo torniamo online", è "cosa continua a funzionare mentre siamo offline, e per chi".

1. 01
   Attacco

   i sistemi clinici e amministrativi si fermano
2. 02
   Restringimento

   il volume di attività cala del 17-24%, i nuovi casi vengono dirottati
3. 03
   Chi resta

   i già ricoverati non vengono dirottati, e l'aumento di mortalità si concentra lì

Cosa se ne fa una struttura sanitaria

Procedure di degradazione scritte, non improvvisate. Cosa si fa senza cartella clinica elettronica, senza sistema di laboratorio, senza gestione delle terapie. Chi le scrive quando i sistemi funzionano lo fa meglio di chi le scrive alle tre di notte.

Provare il ritorno alla carta, non solo il ripristino. L'esercitazione tipica prova il ripristino dei backup. Quella che questo studio suggerisce è diversa: provare le settimane in mezzo, quando i sistemi non ci sono ancora e i pazienti sì.

Contare i pazienti già dentro. Nella pianificazione della continuità, la popolazione più esposta non è quella che arriverà: è quella che c'è già. È anche l'unica che non si può dirottare altrove.

Una nota su cosa questo articolo non è. Non è la cronaca di un attacco: è la lettura di uno studio con revisione paritaria, che misura effetti aggregati su una popolazione. I due numeri riportati — il calo di volume e l'aumento di mortalità — sono quelli pubblicati dagli autori. Chi volesse verificare metodologia, intervalli di confidenza e specificazioni trova il testo integrale ai riferimenti in fondo, ed è la strada che consigliamo prima di citare la cifra altrove.