Lebih dari 100 juta orang informasi kesehatan pribadinya dicuri selama serangan ransomware terhadap Change Healthcare pada bulan Februari, sebuah serangan siber yang menyebabkan pemadaman listrik yang belum pernah terjadi sebelumnya selama berbulan-bulan dan gangguan yang meluas di sektor layanan kesehatan AS.
Ini adalah pertama kalinya UnitedHealth Group, penyedia asuransi kesehatan AS yang memiliki perusahaan teknologi kesehatan, memasukkan sejumlah individu yang terkena dampak pelanggaran data, setelah sebelumnya mengatakan pihaknya mengantisipasi pelanggaran tersebut dengan memasukkan data “sebagian besar orang. di Amerika.”
Departemen Kesehatan dan Layanan Kemanusiaan AS pertama kali melaporkan nomor yang diperbarui di portal pelanggaran datanya pada hari Kamis.
Tyler Mason, juru bicara UHG, tidak segera menanggapi permintaan komentar.
Serangan ransomware dan pelanggaran data di Change Healthcare merupakan pencurian digital terbesar yang diketahui atas catatan medis AS, dan salah satu pelanggaran data terbesar dalam sejarah hidup. Konsekuensi bagi jutaan orang Amerika yang informasi medis pribadinya dicuri dan tidak dapat diambil kembali kemungkinan besar akan berdampak seumur hidup.
UHG mulai memberi tahu individu yang terkena dampak pada akhir Juli, dan berlanjut hingga Oktober.
Data pribadi yang dicuri berbeda-beda pada setiap individu, namun Change sebelumnya mengonfirmasi bahwa data tersebut mencakup informasi pribadi, seperti nama dan alamat, tanggal lahir, nomor telepon dan alamat email, serta dokumen identitas pemerintah, termasuk nomor Jaminan Sosial, SIM, dan nomor paspor. Data kesehatan yang dicuri mencakup diagnosis, obat-obatan, hasil tes, pencitraan dan rencana perawatan dan pengobatan, dan informasi asuransi kesehatan – serta informasi keuangan dan perbankan yang ditemukan dalam data klaim dan pembayaran yang diambil oleh para penjahat.
Change Healthcare adalah salah satu pengelola kesehatan, data medis, dan catatan pasien terbesar yang memproses asuransi dan penagihan pasien di sektor layanan kesehatan AS, termasuk ribuan rumah sakit, apotek, dan praktik medis. Dengan demikian, Change menangani sejumlah besar informasi terkait kesehatan dan medis pada sekitar sepertiga penduduk Amerika, kata kepala eksekutif perusahaan tersebut Andrew Witty kepada anggota parlemen pada bulan Mei.
Serangan siber ini diketahui publik pada tanggal 21 Februari ketika Change Healthcare menarik sebagian besar jaringannya ke offline untuk membendung para penyusup, sehingga menyebabkan pemadaman langsung di seluruh sektor layanan kesehatan AS yang mengandalkan Change untuk menangani asuransi dan penagihan pasien.
UHG mengaitkan serangan siber ini dengan ALPHV/BlackCat, geng ransomware dan pemerasan berbahasa Rusia, yang kemudian mengaku bertanggung jawab atas serangan siber tersebut.
Para pemimpin geng ransomware kemudian menghilang setelah melarikan diri dengan uang tebusan sebesar $22 juta yang dibayarkan oleh raksasa asuransi kesehatan, sehingga membuat kontraktor kelompok yang melakukan peretasan Change Healthcare tidak mendapatkan keuntungan finansial baru mereka. Para kontraktor mengambil data yang mereka curi dari Change Healthcare dan membentuk kelompok baru, yang meminta uang tebusan kedua dari UHG, sambil mempublikasikan sebagian dari file yang dicuri secara online untuk membuktikan ancaman mereka.
Tidak ada bukti bahwa penjahat dunia maya kemudian menghapus data tersebut. Geng pemerasan lainnya, termasuk LockBit, terbukti menimbun data curian, bahkan setelah korban membayar dan penjahat mengklaim telah menghapus data tersebut.
Saat membayar uang tebusan, Change memperoleh salinan kumpulan data yang dicuri, sehingga memungkinkan perusahaan untuk mengidentifikasi dan memberi tahu individu yang terkena dampak yang informasinya ditemukan dalam data tersebut.
Upaya pemerintah AS untuk menangkap peretas di balik ALPHV/BlackCat, salah satu geng ransomware paling produktif saat ini, sejauh ini gagal. Geng tersebut bangkit kembali setelah operasi penghapusan pada tahun 2023 untuk menyita situs kebocoran web gelap geng tersebut.
Beberapa bulan setelah pelanggaran Change Healthcare, Departemen Luar Negeri AS menaikkan imbalan atas informasi keberadaan penjahat dunia maya ALPHV/BlackCat menjadi $10 juta.
Konsolidasi perusahaan dan keamanan yang buruk menjadi penyebab pelanggaran data
Sebagian jaringan Change Healthcare tetap offline karena perusahaan terus melakukan pemulihan dari serangan siber pada bulan Februari. Anggota parlemen juga sedang menyelidiki pelanggaran tersebut dan dampaknya terhadap jutaan orang Amerika yang data kesehatannya dicuri secara permanen.
Selama sidang DPR mengenai serangan siber pada bulan April, CEO UnitedHealth Witty mengonfirmasi bahwa penjahat dunia maya membobol salah satu sistem karyawannya menggunakan kredensial curian yang tidak dilindungi dengan autentikasi multi-faktor (MFA), sebuah fitur keamanan yang dapat membantu melindungi dari serangan siber. penyalahgunaan pencurian kata sandi.
Dengan mendapatkan akses ke sistem internal penting hanya dengan menggunakan kata sandi yang dicuri, geng ransomware dapat menjangkau bagian lain dari jaringan Change Healthcare dan menyebarkan ransomware.
Tidak jelas mengapa sistem ini tidak dilindungi oleh MFA, namun hal ini kemungkinan akan tetap menjadi bagian penting dari penyelidikan yang sedang berlangsung oleh anggota parlemen dan pemerintah. Witty mengatakan kepada anggota parlemen bahwa organisasi tersebut telah diluncurkan dan sekarang menerapkan MFA setelah serangan siber.
Anggota parlemen memahami bagaimana UHG menangani begitu banyak data dan menghasilkan begitu banyak pendapatan, namun gagal dalam keamanan siber dasar.
Menurut laporan pendapatan setahun penuh tahun 2023, UHG menghasilkan laba $22 miliar dari pendapatan $371 miliar. CEO UHG, Witty, memperoleh kompensasi eksekutif sebesar $23,5 juta pada tahun yang sama.
Meskipun kurangnya MFA disalahgunakan dalam kasus ini, besarnya ukuran dan kekayaan data yang sangat sensitif yang dikumpulkan dan disimpan oleh Change Healthcare menjadikannya sebagai target tersendiri. kata anggota parlemen.
Change Healthcare bergabung dengan penyedia layanan kesehatan AS Optum pada tahun 2022 sebagai bagian dari kesepakatan senilai $7,8 miliar oleh UnitedHealth Group. Kesepakatan tersebut menyatukan kedua raksasa layanan kesehatan di bawah UHG dan memungkinkan Optum, yang memiliki grup dokter dan menyediakan teknologi dan data kepada perusahaan asuransi dan layanan kesehatan, memiliki akses luas ke catatan pasien yang ditangani oleh Change.
UnitedHealth Group secara kolektif memberikan program manfaat kepada lebih dari 53 juta pelanggan AS dan lima juta lainnya di luar Amerika Serikat, menurut laporan pendapatan setahun penuh terbarunya. Optum melayani sekitar 103 juta pelanggan AS.
Kesepakatan itu mendapat pengawasan ketat dari otoritas antimonopoli federal AS, yang menggugat untuk memblokir UHG agar tidak membeli Change Healthcare dan menggabungkannya dengan Optumdengan alasan bahwa UnitedHealth akan mendapatkan keunggulan kompetitif yang tidak adil dengan mendapatkan akses ke “sekitar setengah dari seluruh klaim asuransi kesehatan Amerika lolos setiap tahun.” Seorang hakim akhirnya menyetujui kesepakatan itu.
Departemen Kehakiman dilaporkan mulai meningkatkan penyelidikannya terhadap UHG dan potensi praktik anti persaingannya pada bulan-bulan sebelum peretasan Change Healthcare.
Baca selengkapnya:
