Change Healthcare ha confirmado un ataque de ransomware ocurrido en febrero, el cual causó una disrupción significativa en el sistema de salud de EE.UU. durante semanas y resultó en el robo de registros médicos de una «proporción sustancial» de la población estadounidense.
En un comunicado emitido el jueves, Change Healthcare informó que ha comenzado a notificar a los individuos afectados por el robo de información durante el ciberataque. La empresa, propiedad del conglomerado de seguros UnitedHealth Group, procesa seguros y facturación para miles de hospitales, farmacias y prácticas médicas en EE.UU., teniendo acceso a una enorme cantidad de información de salud de aproximadamente un tercio de la población.
Impacto en Pacientes y Proveedores de Salud
El ataque cibernético obligó a la compañía a cerrar sus sistemas, causando interrupciones y retrasos a miles de proveedores de salud que dependen de Change Healthcare, y afectando a numerosos pacientes que no pudieron obtener recetas o tuvieron retrasos en sus cuidados médicos. En su último comunicado, la empresa indicó que aún no puede confirmar exactamente qué datos fueron robados de cada individuo, ya que la información puede variar.
La información comprometida incluye datos personales como nombres, direcciones, fechas de nacimiento, números de teléfono y correos electrónicos, así como documentos de identidad como números de Seguridad Social, licencias de conducir y números de pasaporte. También se robaron registros médicos y datos de salud, incluyendo diagnósticos, medicamentos, resultados de pruebas, imágenes y planes de tratamiento. La información de seguros de salud, detalles de planes y pólizas, así como información de facturación, reclamaciones y pagos, también fue sustraída.
Revisión y Notificación a los Afectados
Change Healthcare se encuentra en las «etapas finales» de su revisión de los datos robados para determinar el alcance del ataque y notificar a más individuos afectados. Parte de la información robada podría estar relacionada con garantes que pagaron cuentas médicas para otras personas. La compañía señaló que los afectados recibirán notificaciones por correo a partir de finales de julio.
El ataque de ransomware a Change Healthcare es uno de los mayores robos de registros médicos en EE.UU. hasta la fecha. Si bien el impacto total de esta brecha de datos aún es incierto, las consecuencias para los millones de estadounidenses cuya información médica privada fue comprometida son incalculables.
Pagos de Rescate y Seguridad Cibernética
UnitedHealth confirmó que pagó al menos un rescate al grupo de ciberdelincuentes responsable del ataque, conocido como ALPHV, para evitar la publicación de los archivos robados. Otro grupo de hackers, RansomHub, exigió un pago adicional después de que ALPHV se quedara con el primer rescate pero dejara los datos robados con un afiliado que desplegó el ransomware en los sistemas de Change.
El ataque costó a UnitedHealth alrededor de $870 millones en los primeros tres meses del año, mientras la empresa reportó ingresos de $100 mil millones en el mismo período. Se espera que UnitedHealth reporte sus ganancias más recientes a mediados de julio.
