CEO Andrew Witty Çarşamba günü yaptığı açıklamada, sağlık sigortası sağlayıcısı UnitedHealth’in yan kuruluşlarından birine giren ve ülke çapındaki sağlık hizmeti sağlayıcılarını aylarca aksatan bilgisayar korsanlarına multimilyon dolarlık fidye ödediğini doğruladı.
Senato Maliye Komitesi önündeki duruşmada Witty, 22 milyon dolarlık fidyeyi ödeme kararının tamamen kendisine ait olduğunu söyledi. “Bu şimdiye kadar vermek zorunda kaldığım en zor kararlardan biriydi” dedi. Birleşik Sağlık geçen ay kabul edildi UnitedHealth’in sahibi olduğu Change Healthcare sistemini ihlal eden bilgisayar korsanlarına fidye ödediğini ancak tutarı açıklamadığını söyledi. Mart ayında şirket, ihlali Las Vegas’taki MGM kumarhane hackinden sorumlu olan BlackCat’e bağladı. Aynı ay, kablolu rapor edildi ALPHV’yi de kullanan BlackCat’in 1 Mart’ta Bitcoin’de 22 milyon dolarlık bir işlem aldığı belirtildi.
BlackCat daha önce bu yılın Şubat ayında gerçekleştirdiği hack kapsamında altı terabayttan fazla veriyi ele geçirdiğini iddia etmişti. Fidye yazılımı çetesi, verilerin “hassas” tıbbi kayıtları içerdiğini söyledi. CBS News’e göre.
Witty, ifadesi sırasında “Suçlular, masaüstü bilgisayarlara uzaktan erişim sağlamak için kullanılan bir uygulama olan Change Healthcare Citrix portalına uzaktan erişmek için ele geçirilen kimlik bilgilerini kullandı” dedi ve portalın “çok faktörlü kimlik doğrulamaya sahip olmadığını” ekledi.
Komite başkanı Senatör Ron Wyden (D-OR), “Bu saldırı siber güvenlik 101 ile durdurulabilirdi” dedi. Witty, United’ın ileriye dönük olarak şirket çapında çok faktörlü kimlik doğrulamaya ihtiyaç duyacağını doğruladıktan sonra Wyden, “bu asgari düzeyde bir anlaşma yapılması için sağlık sektöründe şimdiye kadarki en kötü siber saldırıya maruz kalmaması gerekirdi” dedi.
Hackin etkileri geniş kapsamlıydı. İhlalin keşfedilmesinin ardından United, Change Healthcare sistemini bir hafta süreyle kapattı ve bu durum ülke çapındaki hastanelerin, kliniklerin ve eczanelerin ödeme almasını engelledi. Duruşma sırasında Witty, sistemin artık “genel olarak normale döndüğünü” söyledi. Ancak bazı senatörler Witty’ye hastanelerin ve diğer sağlık hizmeti sağlayıcılarının hâlâ ödeme beklediğini söyledi. Wyden (D-OR), Witty’ye, Şubat ayında hak talebinde bulunan bazı sağlayıcılara ödeme almak için Haziran ayına kadar beklemeleri gerektiğinin söylendiğini söyledi.
UnitedHealth, ABD’deki tüm hasta kayıtlarının üçte birinden fazlasını yönetiyor ve ülke çapındaki 10 doktordan 1’ini yönetiyor. bir mektup Amerikan Hastaneler Birliği Mart ayında Sağlık ve İnsani Hizmetler Bakanlığı’na gönderdi. Açılış konuşmasında Wyden, United’ı bir “sağlık devi” olarak nitelendirdi ve hack’i “batamayacak kadar büyük mega şirketlerin sonuçlarına ilişkin korkunç bir uyarı” olarak nitelendirdi.