Change Healthcare: MFA 없는 로그인 하나로 해커들이 미국 의료 시스템을 수 주간 마비시켰다

2024년 2월, 공격자들은 다중 인증(MFA)이 없는 Change Healthcare의 Citrix 원격 접속 포털에 탈취한 자격 증명을 이용해 로그인했다. UnitedHealth Group의 CEO는 이후 상원 청문회에서 이들이 9일 동안 측면 이동을 했고 약 6테라바이트의 데이터를 유출한 뒤 2월 21일 ALPHV/BlackCat 랜섬웨어를 실행했다고 확인했다. Change Healthcare를 소유한 UnitedHealth는 플랫폼을 차단했고, 그와 함께 미국 의료 시스템에서 청구와 지급을 처리하는 통로도 끊겼다.

약국들은 보험을 확인할 수 없었고 의사들은 청구를 할 수 없었다. 환자들은 약값을 현금으로 지불하거나 약을 구하지 못했다. 의료 제공자들, 특히 소규모 의원들은 정점에서 하루 약 1억 달러의 손실을 입은 것으로 추정되었고 일부는 파산 직전에 몰렸다. HHS는 병원들을 위한 긴급 유연성을 열었고 민권 사무국은 조사에 착수했으며, UnitedHealth는 의료 제공자들을 유지하기 위해 수십억 달러의 긴급 지급을 선지급하기 시작했다.

3월에는 ALPHV 지갑으로 2,200만 달러의 비트코인 결제가 이루어진 사실이 드러났고, 이는 이후 UnitedHealth CEO 본인에 의해 확인되었다. 약 1억 9천만 명의 데이터가 노출된 것으로 밝혀졌으며, 이는 미국 규제 당국에 보고된 역대 최대 규모의 의료 데이터 유출이다. 그리고 회사 자체의 상원 증언에 따르면 진입점은 다중 인증이 없는 원격 접속 포털이었다.

1억 9천만 명의 데이터 — 역대 보고된 최대 의료 유출; 의료 제공자 손실 하루 최대 1억 달러; 비트코인으로 지급된 2,200만 달러의 몸값.

운영 환경에 접근할 수 있는 원격 접속 포털이 다중 인증 없이 운영되었다 — 탈취된 자격 증명을 즉시 무력화했을 유일한 통제였다.

청구 및 지급 네트워크는 단일한 국가적 병목 지점이었다: 그것이 멈추자 전국의 약국, 의원, 병원이 동시에 청구 통로를 잃었다.

랜섬웨어는 침입 9일 후에 실행되었고 측면 이동을 아무도 포착하지 못했다 — 탐지는 공격자의 체류 시간에 훨씬 뒤처졌다.

인증되지 않은 문 하나가 한 나라의 병원들이 진료비를 받지 못하게 만들 수 있다. 모든 곳에서 MFA를 강제하고, 단일 실패 지점이 다른 모두의 실패 지점이 되는 날에 대비해 스트레스 테스트를 하라.

Witty는 2024년 5월 1일 상원 재정위원회에서 증언하며 2,200만 달러의 몸값과 MFA 부재를 확인했다. 2024년 10월 UnitedHealth는 1억 명의 영향받은 개인을 보고했고, 2025년 1월까지 추정치는 거의 두 배인 1억 9천만 명으로 늘었다. 수십 건의 소송이 미네소타 연방 다지역 소송으로 통합되었고, HHS 민권 조사는 계속 열려 있었으며, 이 사건은 미국 의료 지급이 한 회사에 집중되는 국가적 위험의 기준 사례가 되었다.