В результате взлома UnitedHealth были раскрыты персональные данные и данные о состоянии здоровья более 100 миллионов американцев – впервые компания назвала конкретную цифру нарушения безопасности.
Атака с помощью программы-вымогателя была совершена на Change Healthcare еще в феврале, но только вчера компания раскрыла ее «беспрецедентный масштаб»…
Взлом UnitedHealth
Пипящий компьютер сообщает, что разоблачение происходило медленно.
UnitedHealth впервые подтвердила, что более 100 миллионов человек были украдены их личная информация и медицинские данные в результате атаки вымогателя Change Healthcare, отметив это как крупнейшую утечку медицинских данных за последние годы.
В мае генеральный директор UnitedHealth Эндрю Уитти предупредил во время слушаний в Конгрессе, что «возможно, треть» всех данных о здоровье американцев была раскрыта в результате атаки.
Месяц спустя Change Healthcare опубликовала уведомление об утечке данных, предупреждающее, что февральская атака программы-вымогателя на Change Healthcare раскрыла «значительное количество данных» для «значительной части людей в Америке».
Сегодня портал по утечке данных Управления по гражданским правам Министерства здравоохранения и социальных служб США обновил общее число пострадавших людей до 100 миллионов, что делает это первым случаем, когда UnitedHealth, материнская компания Change Healthcare, опубликовала официальную цифру взлома.
Чувствительность скомпрометированной информации вызывала такое же беспокойство, как и ее масштаб:
- Информация о медицинском страховании (например, первичные, вторичные или другие планы/полисы медицинского страхования, страховые компании, идентификационные номера участников/групп и идентификационные номера плательщиков Medicaid-Medicare-государственного правительства);
- Медицинская информация (например, номера медицинских записей, поставщики услуг, диагнозы, лекарства, результаты анализов, изображения, уход и лечение);
- Информация о выставлении счетов, претензиях и платежах (например, номера претензий, номера счетов, коды выставления счетов, платежные карты, финансовая и банковская информация, произведенные платежи и причитающийся остаток); и/или
- Другая личная информация, такая как Номера социального страхования, водительские права, номера удостоверений личности штата или номера паспортов..
Фактические предоставляемые данные могут варьироваться в зависимости от человека.
Невероятно, но атака стала возможной с использованием украденных учетных данных, поскольку в службе удаленного доступа компании Citrix не была включена двухфакторная аутентификация.
Прежде чем компьютеры компании были зашифрованы, были извлечены огромные 6 ТБ данных, что вызвало хаос как среди врачей, так и среди пациентов. Компания призналась, что заплатила выкуп за ключ дешифрования, как сообщается, передав 22 миллиона долларов.
Что еще хуже, нападение было осуществлено «филиалом» организованной преступной группировки BlackCat, и, как сообщается, группа наложила на филиал давление, удержав 100% выкупа. Затем филиал потребовал новый выкуп в обмен на сокрытие данных, и есть основания полагать, что UnitedHealth заплатила и этот второй выкуп.
Фото Национального института рака на Unsplash
