Change Healthcare：MFAなしのログイン1件が、米国の医療を数週間止めた

2024年2月、攻撃者は盗んだ認証情報を使い、多要素認証のないChange HealthcareのCitrixリモートアクセスポータルにログインした。UnitedHealth GroupのCEOは後に上院公聴会で、攻撃者が9日間横展開し、約6テラバイトのデータを窃取した後、2月21日にALPHV/BlackCatランサムウェアを作動させたことを確認した。Change Healthcareを所有するUnitedHealthは同プラットフォームを切断し、それとともに米国医療を通じて請求と支払いを運ぶ経路も遮断された。

薬局は保険を確認できず、医師は請求できなかった。患者は薬代を現金で支払うか、薬を手に入れられないままでいた。医療提供者、とりわけ小規模診療所は、ピーク時で1日あたり推定1億ドルを失い、一部は破綻寸前まで追い込まれた。HHSは病院向けに緊急の柔軟措置を開設し、その公民権局は調査を開始した。一方UnitedHealthは、提供者を存続させるため数十億ドル規模の緊急支払いを前倒しで始めた。

3月には、ALPHVのウォレットへの2200万ドルのビットコイン支払いが明らかになり、後にUnitedHealthのCEO自身がこれを確認した。約1億9000万人分のデータが露出していたことが判明し、これは米国の規制当局に報告された医療データ侵害として史上最大となった。そして同社自身の上院での証言によれば、侵入経路は多要素認証を欠いたリモートアクセスポータルだった。

1億9000万人分のデータ——報告された医療侵害として史上最大。医療提供者の損失は1日最大1億ドル。ビットコインで支払われた2200万ドルの身代金。

本番環境へのアクセス権を持つリモートアクセスポータルが、多要素認証なしで稼働していた——盗まれた認証情報を即座に無力化できた唯一の制御が欠けていた。

請求・支払いネットワークは国家規模の単一のボトルネックだった。それが停止すると、全米の薬局、診療所、病院が一斉に請求の基盤を失った。

ランサムウェアは侵入から9日後に作動し、横展開を誰も捕捉できなかった——検知は攻撃者の滞在時間に大きく後れを取っていた。

認証されていない扉が1つあるだけで、国の病院への支払いが止まり得る。MFAをあらゆる場所で徹底し、自社の単一障害点が他者の単一障害点になる日に備えてストレステストを行え。

Wittyは2024年5月1日に上院財政委員会で証言し、2200万ドルの身代金とMFAの欠如を確認した。2024年10月、UnitedHealthは影響を受けた個人を1億人と報告したが、2025年1月までにその推計はほぼ倍増して1億9000万人となった。数十件の訴訟はミネソタ州の多地区訴訟に統合され、HHSの公民権調査は継続中であり、この出来事は米国の医療支払いを1社に集中させる国家的リスクの参照事例となった。