El ciberataque a Change Healthcare que interrumpió los sistemas de atención médica en todo el país a principios de este año comenzó cuando los piratas informáticos obtuvieron acceso a servidores que carecían de autenticación multifactor, una seguridad básica.
El director ejecutivo de UnitedHealth, Andrew Whitty, dijo en una audiencia en el Senado de Estados Unidos el miércoles que la compañía, propietaria de Change Healthcare, todavía está tratando de descubrir por qué sus servidores no tenían protección adicional.
La confesión del director ejecutivo fue impopular entre los miembros del Comité de Finanzas del Senado, quienes lo interrogaron durante más de dos horas sobre el ataque y los problemas de atención médica en general.
“Este ataque podría haberse evitado con conocimientos básicos de ciberseguridad”, dijo a Whitty el senador demócrata de Oregón, Ron Wyden.
La autenticación multifactor agrega una segunda capa de seguridad a las cuentas protegidas con contraseña al requerir que los usuarios ingresen un código generado automáticamente. Esto es común en aplicaciones que protegen datos confidenciales, como cuentas bancarias, y tiene como objetivo evitar que los piratas informáticos adivinen sus contraseñas.
Change Healthcare proporciona la tecnología utilizada para presentar y procesar miles de millones de reclamaciones de seguros cada año. Los piratas informáticos obtuvieron acceso a la empresa en febrero y lanzaron un ataque de ransomware que cifró y congeló la mayoría de los sistemas de la empresa, dijo Whitty.
En una audiencia separada del Comité de Energía y Comercio de la Cámara el miércoles, dijo que los piratas informáticos utilizaron “credenciales comprometidas”, que podrían incluir contraseñas robadas, para ingresar a los sistemas de Change. Dijo que así fue.
El ataque interrumpió el procesamiento de pagos y reclamaciones en todo el país, obstaculizando la capacidad de las personas para presentar reclamaciones y recibir pagos, y sobrecargando las clínicas y los sistemas de salud.
Para minimizar el daño, UnitedHealth desconectó inmediatamente los sistemas afectados y pagó un rescate de 22 millones de dólares en Bitcoin, dijo Witty. La empresa todavía está realizando esfuerzos de recuperación.
“Literalmente construimos esta plataforma desde cero para darle a la gente la tranquilidad de que la nueva tecnología no contiene elementos de entornos previamente atacados”, dijo Whitty. “Pido disculpas sinceramente”, dijo.
El director ejecutivo también dijo a los senadores que todos los sistemas centrales de la empresa ahora son completamente funcionales. Esto incluye pagos de reclamaciones de seguros y procesamiento de farmacia.
Whitty estaba en el proceso de actualizar la tecnología de Change, que UnitedHealth adquirió en 2022, y estaba “muy frustrado” al saber que faltaba la autenticación multifactor, que es estándar en UnitedHealth, dijo.
En marzo, la Oficina de Derechos Civiles anunció una investigación para determinar si la información médica protegida se vio comprometida y si Change Healthcare cumplió con las leyes que protegen la privacidad del paciente.
La compañía dijo a principios de este mes que el ataque pudo haber robado la información personal de un “número significativo de estadounidenses”.
Los ejecutivos de la compañía dijeron que no había evidencia de que los historiales médicos o los historiales médicos completos estuvieran comprometidos después del ataque. Sin embargo, también señaló que pueden ser necesarios meses de análisis para identificar y notificar a los afectados. UnitedHealth ofrece verificaciones de crédito gratuitas y protección contra robo de identidad durante dos años.
UnitedHealth Group opera una de las compañías de administración de beneficios farmacéuticos y de seguros más grandes del país. También brindamos servicios de atención y tecnología, incluido nuestro negocio Change.
Los expertos en ciberseguridad dicen que los ataques de ransomware han aumentado significativamente en los últimos años, especialmente en el sector de la salud.
Whitty dijo a los senadores que UnitedHealth está bajo ataque “todo el tiempo”. En declaraciones preparadas, dijo que la empresa rechaza un intento de intrusión cada 70 segundos.
___
El Departamento de Salud y Ciencia de Associated Press recibe el apoyo del Grupo de Medios de Educación Científica del Instituto Médico Howard Hughes. Associated Press es la única responsable de todo el contenido.
Fuente: https://apnews.com/article/change-healthcare-cyberattack-unitedhealth-senate-9e2fff70ce4f93566043210bdd347a1f
