W wyniku włamania do UnitedHealth ujawniono dane dotyczące zdrowia 100 milionów Amerykanów

Włamanie do UnitedHealth ujawniło dane osobowe i dane dotyczące zdrowia ponad 100 milionów Amerykanów – po raz pierwszy firma umieściła konkretną liczbę na liście bezpieczeństwo naruszenie.

Atak ransomware na Change Healthcare miał miejsce w lutym, ale dopiero wczoraj firma ujawniła jego „bezprecedensową skalę”…

Włamanie do UnitedHealth

Piszczący Komputer donosi, iż odkrycie następowało powoli.

UnitedHealth po raz pierwszy potwierdziło, iż w wyniku ataku ransomware Change Healthcare skradziono dane osobowe i dane dotyczące opieki zdrowotnej ponad 100 milionów osób, co oznacza, iż ​​jest to największe naruszenie danych dotyczących opieki zdrowotnej w ostatnich latach.

W maju dyrektor generalny UnitedHealth, Andrew Witty, ostrzegł podczas przesłuchania w Kongresie, iż w wyniku ataku ujawniono „może jedną trzecią” wszystkich danych dotyczących zdrowia Amerykanów.

Miesiąc później firma Change Healthcare opublikowała powiadomienie o naruszeniu danych, ostrzegające, iż lutowy atak systemu ransomware na Change Healthcare ujawnił „znaczną ilość danych” dla „znacznej części ludzi w Ameryce”.

W dniu dzisiejszym portal Biura ds. Praw Obywatelskich Departamentu Zdrowia i Opieki Społecznej Stanów Zjednoczonych zaktualizował łączną liczbę osób, których to dotyczyło, do 100 milionów, co oznacza, iż ​​UnitedHealth, spółka matka Change Healthcare, po raz pierwszy podała oficjalny numer naruszenia.

Wrażliwość ujawnionych informacji była równie niepokojąca jak skala:

• Informacje o ubezpieczeniu zdrowotnym (takie jak podstawowe, dodatkowe lub inne plany/polisy zdrowotne, firmy ubezpieczeniowe, numery identyfikacyjne członków/grup oraz numery identyfikacyjne płatnika Medicaid-Medicare-rządowego);
• Informacje zdrowotne (takie jak numery dokumentacji medycznej, dostawcy, diagnozy, leki, wyniki badań, zdjęcia, opieka i leczenie);
• Informacje dotyczące rozliczeń, roszczeń i płatności (takie jak numery roszczeń, numery kont, kody rozliczeniowe, karty płatnicze, informacje finansowe i bankowe, dokonane płatności i należne saldo); i/lub
• Inne dane osobowe, takie jak Numery ubezpieczenia społecznego, prawa jazdy lub stanowe numery identyfikacyjne lub numery paszportów.

Rzeczywiste ujawnione dane mogą się różnić w zależności od osoby.

Niewiarygodne, iż atak był możliwy przy użyciu skradzionych danych uwierzytelniających, ponieważ firmowa usługa zdalnego dostępu Citrix nie miała włączonego uwierzytelniania dwuskładnikowego.

Zanim komputery firmy zostały zaszyfrowane, wydobyto ogromne 6 TB danych, co spowodowało chaos zarówno wśród lekarzy, jak i pacjentów. Firma przyznała się do zapłacenia okupu za klucz deszyfrujący, przekazując podobno 22 miliony dolarów.

Co gorsza, ataku dokonał „towarzysz” zorganizowanej grupy przestępczej BlackCat, a grupa według doniesień usztywniła tę spółkę, zatrzymując 100% okupu. Następnie podmiot stowarzyszony zażądał nowego okupu w zamian za nieupublicznienie danych, a istnieją dowody sugerujące, iż UnitedHealth zapłaciło również ten drugi okup.

Zdjęcie autorstwa Narodowy Instytut Raka NA Usuń rozpryski