В результате взлома UnitedHealth (крупнейшая компания США в области медицинского страхования) была раскрыта личная информация и медицинские данные более 100 миллионов американцев — впервые компания назвала конкретную цифру, связанную с нарушениями безопасности.

Атака с выкупом была совершена ещё в феврале, но только вчера компания раскрыла её «беспрецедентные масштабы». Bleeping Computer сообщает, что обнародование информации было крайне медленным.

Компания UnitedHealth впервые подтвердила, что в результате атаки вымогательского ПО Change Healthcare была похищена личная информация и медицинские данные более 100 миллионов человек, что стало крупнейшей утечкой информации в области здравоохранения за последние годы.

В мае генеральный директор UnitedHealth Эндрю Витти предупредил на слушаниях в Конгрессе, что в результате атаки была раскрыта «возможно, треть» всех медицинских данных американцев.

Месяц спустя компания Change Healthcare опубликовала уведомление об утечке, предупредив, что в результате атаки на Change Healthcare с целью выкупа было раскрыто «значительное количество данных» о «значительной части людей в Америке».

Сегодня на портале об утечке данных Управления по гражданским правам Министерства здравоохранения и социальных служб США было обновлено общее число пострадавших, которое достигло 100 миллионов человек, что стало первым случаем, когда компания назвала официальную цифру затронутых граждан.

Чувствительность скомпрометированной информации была не менее значительной, чем её масштаб:

  • Информация о медицинском страховании (например, первичные, вторичные или другие медицинские планы/полисы, страховые компании, идентификационные номера членов/групп и идентификационные номера плательщиков);
  • Медицинская информация (например, номера медицинских карт, поставщики, диагнозы, лекарства, результаты анализов, снимки, уход и лечение);
  • Информация о выставлении счетов, претензиях и платежах (например, коды выставления счетов, платёжные карты, финансовая и банковская информация, произведённые переводы и остаток задолженности); и/или другие личные данные, такие как номера социального страхования, водительских прав или удостоверений личности штата, а также номера паспортов.

Фактические сведения, подвергшиеся раскрытию, могут отличаться в зависимости от конкретного человека.

Невероятно, но атака стала возможной благодаря украденным учётным данным, поскольку в службе удалённого доступа Citrix компании не была включена двухфакторная аутентификация.

Перед тем как компьютеры компании были зашифрованы, злоумышленникам удалось извлечь 6 ТБ данных, что привело в хаос как врачей, так и пациентов. Компания призналась, что заплатила выкуп за ключ к расшифровке, передав, как сообщается, $22 млн.

Что ещё интереснее, так это то, что атака была осуществлена «филиалом» организованной преступной группировки BlackCat, которая, как сообщается, обманула партнёров, оставив себе 100% суммы выкупа. Впоследствии головная группировка потребовала новый выкуп в обмен на то, что данные не будут обнародованы, и есть основания полагать, что UnitedHealth заплатила и второй выкуп.

Ещё по теме: