UnitedHealth heeft toegegeven dat de gezondheidsgegevens van meer dan 100 miljoen Amerikanen via een hack zijn vrijgegeven. Dit is de eerste keer dat de multinationale zorgverzekeraar en dienstverlener een specifiek nummer heeft toegeschreven aan de cyberaanval die eerder dit jaar plaatsvond.
UnitedHealth geeft toe dat de gezondheidsgegevens van 100 miljoen Amerikaanse burgers zijn gecompromitteerd
UnitedHealth Group (UHG) heeft in 2022 Change Healthcare overgenomen. De twee bedrijven maken nu deel uit van dezelfde zorgorganisatie onder het merk UnitedHealth.
In februari van dit jaar kreeg Change Healthcare te maken met een groot datalek. Het bedrijf vermeldde echter niet hoeveel personen van wie de gegevens openbaar waren gemaakt.
In mei gaf Andrew Witty, CEO van UnitedHealth, aan dat “misschien een derde” van alle Amerikaanse gezondheidsgegevens tijdens de aanval openbaar werd gemaakt. Een maand later publiceerde Change Healthcare een melding van een datalek, waarin het bedrijf alleen maar verklaarde dat de ransomware-aanval een ‘substantiële hoeveelheid gegevens’ blootlegde voor een ‘substantieel deel van de mensen in Amerika’.
Het Amerikaanse ministerie van Volksgezondheid en Human Services Office for Civil Rights (OCR) heeft het ‘Data Breach’-portaal bijgewerkt. De column voor de Change Healthcare-hack vermeldt naar verluidt dat 100 miljoen individuen getroffen zijn.
Grootste Amerikaanse datalek in de gezondheidszorg van de afgelopen jaren
In de FAQ-sectie op de OCR-website staat nu: “Op 22 oktober 2024 heeft Change Healthcare OCR ervan op de hoogte gesteld dat er ongeveer 100 miljoen individuele kennisgevingen zijn verzonden met betrekking tot deze inbreuk.”
Het is onnodig om te zeggen dat de ransomware-aanval, met 100 miljoen getroffen Amerikaanse burgers, een van de grootste van de afgelopen jaren zou kunnen zijn. Wat nog zorgwekkender is, afgezien van het aantal burgers, is hoe het datalek werd afgehandeld.
Volgens Piepende computerhebben bedreigingsactoren 6TB aan gegevens gestolen van Change Healthcare. De aanvallers versleutelden vervolgens de computers op het netwerk. Als herstelmaatregel heeft de dochteronderneming van UnitedHealth haar IT-systemen stilgelegd. Dit leidde tot wijdverbreide storingen in het Amerikaanse gezondheidszorgsysteem.
De BlackCat-ransomwaregroep, die de aanval uitvoerde, heeft mogelijk ongeveer 22 miljoen dollar ontvangen van UnitedHealth Group. Het bedrijf zou hebben betaald om een decoderingssleutel te ontvangen en ervoor te zorgen dat de ransomwaregroep de gestolen gegevens verwijderde.
De partner die met de ransomwaregroep samenwerkte, heeft de gegevens niet onmiddellijk verwijderd. De vermelding voor Change Healthcare is echter op mysterieuze wijze verdwenen van de website van het aangesloten bedrijf. Dit suggereert dat UnitedHealth mogelijk een tweede eis om losgeld heeft betaald.
Het is niet duidelijk hoe UnitedHealth zal worden bestraft. T-Mobile betaalde onlangs een schamele boete van $31,5 miljoen voor meerdere datalekken. De luchtvaartmaatschappij krijgt de helft van het geld om te investeren in technologie om de cyberbeveiliging te verbeteren.
