Change Healthcare: Ein einziger Login ohne MFA ermöglichte Hackern, das US-Gesundheitswesen wochenlang lahmzulegen

Im Februar 2024 meldeten sich Angreifer mit gestohlenen Zugangsdaten an einem Citrix-Fernzugriffsportal von Change Healthcare an, das keine Multi-Faktor-Authentifizierung besaß. Der CEO von UnitedHealth Group bestätigte später bei einer Anhörung im Senat, dass sie sich neun Tage lang lateral bewegten und etwa sechs Terabyte Daten exfiltrierten, bevor sie am 21. Februar die Ransomware ALPHV/BlackCat zündeten. UnitedHealth, dem Change Healthcare gehört, trennte die Plattform vom Netz — und damit auch die Leitungen, über die Krankenversicherungsansprüche und Zahlungen durch das US-Gesundheitswesen laufen.

Apotheken konnten Versicherungen nicht überprüfen; Ärzte konnten nicht abrechnen. Patienten zahlten Medikamente bar oder verzichteten darauf. Leistungserbringer — vor allem kleine Praxen — verloren auf dem Höhepunkt schätzungsweise 100 Millionen Dollar pro Tag, und einige näherten sich der Insolvenz. Das HHS öffnete Notfallflexibilitäten für Krankenhäuser, und seine Bürgerrechtsabteilung leitete eine Untersuchung ein, während UnitedHealth begann, Milliarden an Notfallzahlungen vorzustrecken, um die Leistungserbringer über Wasser zu halten.

Im März tauchte eine Bitcoin-Zahlung von 22 Millionen Dollar an eine ALPHV-Wallet auf — später vom CEO von UnitedHealth selbst bestätigt. Es stellte sich heraus, dass Daten von etwa 190 Millionen Menschen offengelegt worden waren, der größte Datenschutzverstoß im Gesundheitswesen, der jemals US-Aufsichtsbehörden gemeldet wurde. Und der Einstiegspunkt war nach dem eigenen Zeugnis des Unternehmens vor dem Senat ein Fernzugriffsportal, dem Multi-Faktor-Authentifizierung fehlte.

Daten von 190 Millionen Menschen — der größte jemals gemeldete Datenschutzverstoß im Gesundheitswesen; bis zu 100 Mio. Dollar pro Tag an Verlusten bei den Leistungserbringern; ein Lösegeld von 22 Mio. Dollar, in Bitcoin gezahlt.

Ein Fernzugriffsportal mit Produktionszugriff lief ohne Multi-Faktor-Authentifizierung — die eine Kontrolle, die gestohlene Zugangsdaten sofort gestoppt hätte.

Das Netzwerk für Ansprüche und Zahlungen war ein einziger nationaler Engpass: Als es ausfiel, verloren Apotheken, Kliniken und Krankenhäuser im ganzen Land gleichzeitig ihre Abrechnungswege.

Die Ransomware wurde neun Tage nach dem Eindringen gezündet, ohne dass jemand die laterale Bewegung bemerkte — die Erkennung blieb weit hinter der Verweildauer der Angreifer zurück.

Eine einzige nicht authentifizierte Tür kann dafür sorgen, dass die Krankenhäuser eines ganzen Landes nicht bezahlt werden. Erzwingen Sie MFA überall und führen Sie Belastungstests für den Tag durch, an dem Ihr single point of failure zum Problem aller anderen wird.

Witty sagte am 1. Mai 2024 vor dem Finanzausschuss des Senats aus und bestätigte das Lösegeld von 22 Millionen Dollar sowie die fehlende MFA. Im Oktober 2024 meldete UnitedHealth 100 Millionen betroffene Personen; bis Januar 2025 hatte sich die Schätzung mit 190 Millionen nahezu verdoppelt. Dutzende Klagen wurden in einem Multidistrict-Verfahren in Minnesota gebündelt, die Bürgerrechtsuntersuchung des HHS blieb offen, und der Vorfall wurde zum Referenzfall für das nationale Risiko, die US-Gesundheitszahlungen in einem einzigen Unternehmen zu konzentrieren.