Quest Diagnostics: violato Quanum LSM, accesso a dati pazienti

Quest Diagnostics, uno dei maggiori gruppi statunitensi di analisi cliniche, ha comunicato un accesso non autorizzato a Quanum Lab Services Manager (Quanum LSM), il portale con cui una parte dei suoi clienti ordina gli esami e consulta i referti. L’azienda ritiene che alcuni dati di pazienti siano stati consultati, ma non ha ancora detto quanti né di che tipo. La notizia è riportata in modo concorde da SecurityWeek (con un testo dell’Associated Press), BleepingComputer, The Record e TechCrunch.

Cosa è successo

Secondo la comunicazione depositata presso la SEC (modulo 8-K), Quest ha scoperto l’accesso il 21 ottobre 2026 e ha attivato la propria procedura di risposta agli incidenti per contenere l’attività, indagare su natura e portata dell’evento e adottare le misure correttive. Sono stati coinvolti esperti esterni di sicurezza e informate le forze dell’ordine federali.

Le misure operative, descritte nell’avviso pubblicato da Quest sul proprio sito e riprese dalle testate:

• Quanum LSM è stato fermato; i clienti sono invitati a usare le richieste cartacee o, secondo BleepingComputer, Quanum eLabs per ordinare esami e ricevere i referti. The Record riporta l’impegno dell’azienda a rimettere in funzione il sistema entro venerdì 23 ottobre;
• altri sistemi sono stati sospesi per precauzione: BleepingComputer cita Essential Insights e LabHQ;
• secondo l’azienda, i servizi rivolti ai clienti non hanno subito interruzioni e chi usa interfacce dirette LIS o integrazioni con le cartelle cliniche elettroniche (EMR) non è stato coinvolto.

Quest ha anche precisato, all’Associated Press e nel proprio avviso, che l’incidente non è collegato alle recenti vulnerabilità di PHP che in questi giorni stanno impegnando molti team di sicurezza.

Il sistema colpito

Quanum LSM è la piattaforma online che medici, personale ospedaliero e studi medici usano per gestire i servizi di laboratorio: ordinare esami, seguirne lo stato, consultare i risultati e ordinare materiali. TechCrunch aggiunge che il portale gestisce anche la fatturazione e conserva dati sanitari e diagnostici dei pazienti insieme ai relativi dati di fatturazione, e che secondo i materiali di Quest è usato da circa mezzo milione di clinici in Nord America. Quest dichiara di servire ogni anno un adulto statunitense su tre.

È un punto che conta: un portale di questo tipo concentra in un unico servizio web, accessibile a migliaia di utenti esterni, dati sanitari di pazienti di moltissime strutture diverse.

Cosa non si sa ancora

Le fonti concordano su diversi punti aperti:

• vettore d’accesso: non è stato comunicato. Un portavoce ha rifiutato di commentare la natura dell’incidente (The Record); non è noto se si tratti di credenziali rubate, di una vulnerabilità applicativa o di altro. Per questo non è possibile associare tecniche MITRE ATT&CK specifiche;
• inizio dell’attività: Quest non ha detto da quando l’attaccante fosse presente (TechCrunch);
• dati coinvolti: l’avviso parla di «informazioni personali e cartelle dei pazienti», ma tipi di dati e numero di persone sono ancora da accertare;
• rivendicazione: alla data degli articoli nessun gruppo aveva rivendicato l’attacco (BleepingComputer, The Record), e Quest non ha detto se abbia ricevuto richieste di riscatto.

TechCrunch segnala inoltre che la pagina dell’avviso contiene il codice noindex, che la esclude dai motori di ricerca.

Non è il primo episodio per Quest: nel 2019 i dati di circa 11,9 milioni di pazienti erano stati coinvolti nella violazione del fornitore di servizi di recupero crediti American Medical Collection Agency; SecurityWeek ricorda anche un caso del 2016 con circa 34.000 persone coinvolte.

Perché interessa anche in Europa

Quest opera in Nord America e le fonti non indicano conseguenze dirette per pazienti europei. Lo schema però è comune anche da noi: laboratori, centri diagnostici e piattaforme di refertazione espongono portali web per medici, strutture convenzionate e pazienti, spesso gestiti da terzi.

Per le strutture sanitarie e i laboratori che rientrano nel perimetro della NIS2, un incidente di questo tipo richiede il preallarme entro 24 ore e la notifica entro 72 ore; trattandosi di dati relativi alla salute, vale anche l’obbligo di notifica al Garante entro 72 ore previsto dal GDPR. Il caso Quest mostra due elementi che fanno la differenza: la separazione tra il portale colpito e le integrazioni dirette (LIS ed EMR), rimaste fuori dall’incidente, e la presenza di procedure alternative (richieste cartacee, un secondo canale) che hanno permesso di fermare il sistema senza bloccare il servizio.

Cosa fare subito

Se la tua struttura usa portali esterni di laboratorio o di refertazione:

• verifica quali utenze aziendali sono attive sui portali dei fornitori, chiudi quelle non più necessarie e richiedi l’autenticazione a più fattori;
• chiedi al fornitore i registri di accesso delle tue utenze e cerca consultazioni massive di referti, accessi da paesi o orari insoliti, esportazioni anomale;
• prepara una procedura alternativa documentata per ordinare esami e ricevere referti se il portale viene spento.

Se gestisci un portale con dati sanitari:

• monitora gli schemi di accesso: lo stesso utente che consulta molti pazienti in poco tempo, sessioni da indirizzi nuovi, accessi in orari non lavorativi;
• tieni il portale segmentato dai sistemi interni e dalle integrazioni dirette, e predisponi la possibilità di sospendere i sistemi collegati, come ha fatto Quest;
• controlla se credenziali di utenti del portale compaiono in violazioni note e forza il cambio password quando succede;
• applica gli aggiornamenti dei componenti esposti e verifica periodicamente la superficie d’attacco esterna.

Come può aiutare ARXDOME

ARX Sentry raccoglie log ed eventi di server e firewall e li raggruppa per famiglie, tra cui raffiche di tentativi di accesso, accessi falliti e accessi notturni, utili per notare un uso anomalo delle utenze. ARX Expose mostra la superficie d’attacco esterna, le vulnerabilità note sui servizi pubblici e gli account aziendali coinvolti in violazioni. ARX Horizon arricchisce ogni evento con paese, operatore e liste di minacce, per distinguere più in fretta un accesso legittimo da uno sospetto.

Ultimo aggiornamento: 23 ottobre 2026