Change Healthcare: un inicio de sesión sin MFA permitió a los atacantes paralizar el sistema sanitario de EE. UU. durante semanas

En febrero de 2024, los atacantes iniciaron sesión en un portal de acceso remoto Citrix de Change Healthcare que no tenía autenticación multifactor, usando credenciales robadas. El consejero delegado de UnitedHealth Group confirmó después en una audiencia del Senado que se desplazaron lateralmente durante nueve días y exfiltraron unos seis terabytes de datos antes de detonar el ransomware ALPHV/BlackCat el 21 de febrero. UnitedHealth, propietaria de Change Healthcare, desconectó la plataforma —y con ella las tuberías que mueven las reclamaciones y los pagos por el sistema sanitario estadounidense.

Las farmacias no podían verificar seguros; los médicos no podían facturar. Los pacientes pagaban en efectivo sus medicamentos o se quedaban sin ellos. Los proveedores —sobre todo las consultas pequeñas— perdían unos 100 millones de dólares al día en el pico, y algunos estuvieron cerca de la insolvencia. El HHS abrió flexibilidades de emergencia para los hospitales y su oficina de derechos civiles inició una investigación, mientras UnitedHealth empezó a adelantar miles de millones en pagos de emergencia para mantener a flote a los proveedores.

En marzo salió a la luz un pago de 22 millones de dólares en Bitcoin a una cartera de ALPHV —confirmado después por el propio consejero delegado de UnitedHealth. Resultó que se expusieron datos de unos 190 millones de personas, la mayor brecha de datos sanitarios jamás notificada a los reguladores estadounidenses. Y el punto de entrada, según el propio testimonio de la empresa ante el Senado, fue un portal de acceso remoto que carecía de autenticación multifactor.

Datos de 190 millones de personas —la mayor brecha sanitaria jamás notificada; hasta 100 millones de dólares al día en pérdidas para los proveedores; un rescate de 22 millones de dólares pagado en Bitcoin.

Un portal de acceso remoto con acceso a producción funcionaba sin autenticación multifactor —el único control que habría detenido en seco unas credenciales robadas.

La red de reclamaciones y pagos era un único punto de estrangulamiento nacional: cuando se apagó, farmacias, clínicas y hospitales de todo el país perdieron a la vez sus vías de facturación.

El ransomware detonó nueve días después de la intrusión sin que nadie detectara el desplazamiento lateral —la detección iba muy por detrás del tiempo de permanencia de los atacantes.

Una sola puerta sin autenticación puede impedir que los hospitales de un país cobren. Aplique MFA en todas partes y someta a pruebas de estrés pensando en el día en que su punto único de fallo se convierta en el de todos los demás.

Witty testificó ante el Comité de Finanzas del Senado el 1 de mayo de 2024, confirmando el rescate de 22 millones de dólares y la falta de MFA. En octubre de 2024 UnitedHealth informó de 100 millones de personas afectadas; para enero de 2025 la estimación casi se había duplicado hasta 190 millones. Decenas de demandas se consolidaron en un litigio multidistrital en Minnesota, la investigación de derechos civiles del HHS siguió abierta, y el episodio se convirtió en el caso de referencia del riesgo nacional de concentrar los pagos sanitarios de EE. UU. en una sola empresa.