El ataque a UnitedHealth expuso la información personal y de salud de más de 100 millones de estadounidenses: la primera vez que la compañía da una cifra exacta a una violación de seguridad.
Change Healthcare sufrió un ataque de ransomware en febrero, pero ayer la empresa reveló su “tamaño sin precedentes”…
Hackeo de UnitedHealth
computadora de sonido La noticia pasó lentamente.
UnitedHealth ha confirmado por primera vez que más de 100 millones de datos personales y de salud de personas fueron robados en el ataque de ransomware Change Healthcare, que ha sido calificado como la mayor violación de datos de atención médica en los últimos años.
En mayo, el director ejecutivo de UnitedHealth, Andrew Witty, advirtió en una audiencia en el Congreso que “quizás un tercio” de toda la información de salud de los estadounidenses quedó expuesta en el ataque.
Un mes después, Change Healthcare emitió una advertencia de violación de datos en febrero advirtiendo que un ataque de ransomware a Change Healthcare había expuesto una “gran cantidad de datos” para “una gran parte de la gente en Estados Unidos”.
Hoy, el Portal de Violación de Datos de Derechos Civiles del Departamento de Salud y Servicios Humanos de EE. UU. actualizó el número total de personas afectadas a 100 millones, la primera vez que UnitedHealth, la empresa matriz de Change Healthcare, publica una cifra oficial sobre la violación.
La sensibilidad de los datos corruptos estaba relacionada con la medición:
- Información sobre seguros de salud (como planes/pólizas de salud primarios, secundarios u otros, compañías de seguros, identificadores de miembros/grupos y números de identificación de pagadores de Medicaid, Medicare y el gobierno);
- Información de salud (p. ej., números de registros médicos, proveedores, diagnósticos, medicamentos, resultados de pruebas, imágenes, atención y tratamiento);
- Información de facturación, reclamos y pagos (números de reclamos, números de cuenta, códigos de facturación, tarjetas de pago, información financiera y bancaria, pagos realizados y saldos de pago como ‘i); y/o
- Otra información personal, por ejemplo Números de Seguro Social, licencias de conducir o números de identificación gubernamental o números de pasaporte..
La información real mostrada puede variar de persona a persona.
Irónicamente, el ataque se llevó a cabo utilizando credenciales robadas porque la autenticación de dos factores no estaba habilitada en el servicio Citrix Remote Access de la empresa.
Se recuperaron una enorme cantidad de 6 TB de datos antes de que se cifraran las computadoras de la empresa, lo que provocó el caos entre médicos y pacientes. La empresa admitió haber pagado por la clave de descifrado y, según se informa, entregó 22 millones de dólares.
Para empeorar las cosas, el ataque fue llevado a cabo por un “afiliado” del grupo criminal organizado BlackCat, y el grupo supuestamente se quedó con el 100 por ciento del dinero del rescate. Luego, el afiliado exigió un nuevo pago a cambio de no divulgación, y hay evidencia que demuestra que UnitedHealth también pagó este segundo pago.
Autor de la foto Instituto Nacional del Cáncer activado Chapoteo
FTC: utilizamos enlaces de afiliados automáticos para generar ingresos. Más.
