UnitedHealth Group ha confirmado que el ciberataque dirigido a su filial Change Healthcare en febrero de 2024 afectó aproximadamente a 190 millones de personas en los Estados Unidos, convirtiéndose en la mayor brecha de datos relacionada con la salud en la historia del país. Esta cifra casi duplica la estimación inicial de 100 millones de afectados y resalta la gravedad del incidente.
La información fue revelada por el portavoz de UnitedHealth, Tyler Mason, en un correo electrónico enviado a TechCrunch. Mason aseguró que “la mayoría de los afectados ya ha recibido notificación individual o sustitutiva sobre el incidente”.
El impacto financiero que va a tener este incidente de seguridad para UnitedHealth es muy importante. En 2024, las ganancias de la empresa cayeron más de un tercio, pasando de 22.300 millones de dólares en 2023 a 14.400 millones. Además, los costes de recuperación y solución de este ciberataque se estiman entre 2.300 y 2.500 millones de dólares.
El ataque también provocó interrupciones significativas en el sistema de salud de Estados Unidos durante varios meses, afectando a pacientes y proveedores de servicios médicos.
Datos personales e historiales médicos revelados
El ataque comprometió una amplia variedad de datos personales y médicos sensibles, incluyendo nombres completos, fechas de nacimiento, datos de contacto, números de identificación gubernamentales como el Seguro Social, diagnósticos médicos, resultados de pruebas, planes de tratamiento, información de seguros y datos financieros de millones de personas.
La magnitud de la información sustraída pone en evidencia la gravedad del incidente, ya que estos datos pueden ser utilizados para fraudes, extorsiones o actividades ilícitas, lo que genera una gran preocupación en el sector de la salud y entre los millones de afectados.
Los responsables del ataque
El ciberataque ha sido atribuido al grupo criminal ruso ALPHV, también conocido como BlackCat. Los ciberdelincuentes lograron acceder inicialmente mediante credenciales robadas que carecían de medidas de seguridad como la autenticación multifactor. Posteriormente, desplegaron su potente ransomware, cifrando los datos de Change Healthcare y exigiendo un rescate para evitar la publicación de la información.
Aunque UnitedHealth asegura que no hay evidencia de uso indebido de los datos robados hasta ahora, algunos archivos filtrados aparecieron en internet incluso después de que se pagara el rescate.
Medidas de seguridad recomendadas por EE. UU.
Tras el incidente, la Oficina de Derechos Civiles del Departamento de Salud y Servicios Humanos de EE. UU. recomendó mejoras en la seguridad de las instituciones de salud. Estas incluyen:
- Implementar autenticación multifactor para accesos sensibles, especialmente relacionados con datos personales de usuarios e historiales médicos.
- Cifrar los datos de los pacientes. Muy relacionado con lo anterior, ya que los datos de los pacientes son un objetivo fijo de los ciberdelincuentes.
- Realizar auditorías regulares para identificar vulnerabilidades que puedan estar ocurriendo en los sistemas, pero que no se conocen.
Estas medidas buscan prevenir futuros ataques y proteger mejor los datos sensibles de los pacientes, que es un objetivo lucrativo para los ciberdelincuentes por las ventajas que les proporcionan para llevar a cabo otras estafas relacionadas con fraude financiero o venta de esos datos.
Un ataque que supera el registrado en 2015
Este ataque supera en magnitud al registrado en 2015 contra Anthem Inc., que afectó a 78.8 millones de personas. La magnitud del incidente pone de manifiesto cómo el sector sanitario sigue siendo un objetivo prioritario para los ciberdelincuentes.
Change Healthcare, adquirida por UnitedHealth en 2022, es uno de los mayores procesadores de reclamaciones médicas que almacena ademas millones de datos de salud en el país. Esto la convierte en un blanco atractivo para grupos como ALPHV, debido al valor y la sensibilidad de la información que gestiona.
La dependencia del sistema sanitario estadounidense en plataformas digitales como Change Healthcare subraya la necesidad de fortalecer las defensas cibernéticas en toda la industria.
