Change Healthcare : une connexion sans MFA a permis aux pirates de paralyser le système de santé américain pendant des semaines

En février 2024, des attaquants se sont connectés à un portail d'accès à distance Citrix de Change Healthcare dépourvu d'authentification multifacteur, à l'aide d'identifiants volés. Le PDG de UnitedHealth Group a ensuite confirmé lors d'une audition au Sénat qu'ils s'étaient déplacés latéralement pendant neuf jours et avaient exfiltré environ six téraoctets de données avant de déclencher le rançongiciel ALPHV/BlackCat le 21 février. UnitedHealth, propriétaire de Change Healthcare, a déconnecté la plateforme — et avec elle les canaux qui acheminent les demandes de remboursement et les paiements dans le système de santé américain.

Les pharmacies ne pouvaient plus vérifier les assurances ; les médecins ne pouvaient plus facturer. Les patients payaient leurs médicaments en espèces ou s'en passaient. Les prestataires — les petits cabinets surtout — ont perdu, selon les estimations, 100 millions de dollars par jour au pic de la crise, et certains ont frôlé l'insolvabilité. Le HHS a ouvert des flexibilités d'urgence pour les hôpitaux et son bureau des droits civils a lancé une enquête, tandis que UnitedHealth a commencé à verser des milliards en paiements d'urgence pour maintenir les prestataires à flot.

En mars, un paiement de 22 millions de dollars en Bitcoin vers un portefeuille ALPHV a été révélé — plus tard confirmé par le PDG de UnitedHealth lui-même. Les données d'environ 190 millions de personnes se sont révélées exposées, la plus grande violation de données de santé jamais signalée aux autorités américaines. Et le point d'entrée, selon le témoignage de l'entreprise devant le Sénat, était un portail d'accès à distance dépourvu d'authentification multifacteur.

Les données de 190 millions de personnes — la plus grande violation de données de santé jamais signalée ; jusqu'à 100 M$ par jour de pertes pour les prestataires ; une rançon de 22 M$ payée en Bitcoin.

Un portail d'accès à distance disposant d'un accès à la production fonctionnait sans authentification multifacteur — le seul contrôle qui aurait bloqué net des identifiants volés.

Le réseau des demandes de remboursement et des paiements constituait un point d'étranglement national unique : lorsqu'il s'est éteint, les pharmacies, cliniques et hôpitaux du pays ont perdu simultanément leurs circuits de facturation.

Le rançongiciel a été déclenché neuf jours après l'intrusion sans que personne n'ait détecté les déplacements latéraux — la détection était bien en retard sur le temps de présence des attaquants.

Une seule porte non authentifiée peut empêcher les hôpitaux d'un pays d'être payés. Imposez la MFA partout et testez en conditions de crise le jour où votre point de défaillance unique devient celui de tous les autres.

Witty a témoigné devant la commission des finances du Sénat le 1er mai 2024, confirmant la rançon de 22 millions de dollars et l'absence de MFA. En octobre 2024, UnitedHealth a fait état de 100 millions de personnes touchées ; en janvier 2025, l'estimation avait presque doublé, à 190 millions. Des dizaines de recours ont été regroupés dans un litige multidistrict dans le Minnesota, l'enquête du bureau des droits civils du HHS est restée ouverte, et l'épisode est devenu le cas de référence du risque national lié à la concentration des paiements de santé américains dans une seule entreprise.