Change Healthcare: um único login sem MFA permitiu que hackers paralisassem a saúde dos EUA por semanas

Em fevereiro de 2024, atacantes fizeram login em um portal de acesso remoto Citrix da Change Healthcare que não tinha autenticação multifator, usando credenciais roubadas. O CEO da UnitedHealth Group confirmou depois, em uma audiência no Senado, que eles se moveram lateralmente por nove dias e exfiltraram cerca de seis terabytes de dados antes de detonar o ransomware ALPHV/BlackCat em 21 de fevereiro. A UnitedHealth, proprietária da Change Healthcare, desconectou a plataforma — e com ela os canais que movimentam sinistros e pagamentos pela saúde dos EUA.

As farmácias não conseguiam verificar o seguro; os médicos não conseguiam faturar. Os pacientes pagavam em dinheiro pelos medicamentos ou ficavam sem eles. Os prestadores — sobretudo os pequenos consultórios — perdiam uma estimativa de US$ 100 milhões por dia no pico, e alguns chegaram perto da insolvência. O HHS abriu flexibilidades emergenciais para hospitais e seu escritório de direitos civis iniciou uma investigação, enquanto a UnitedHealth começou a adiantar bilhões em pagamentos emergenciais para manter os prestadores à tona.

Em março, veio à tona um pagamento de US$ 22 milhões em Bitcoin para uma carteira do ALPHV — depois confirmado pelo próprio CEO da UnitedHealth. Os dados de cerca de 190 milhões de pessoas acabaram expostos, a maior violação de dados de saúde já relatada aos reguladores dos EUA. E o ponto de entrada, segundo o próprio depoimento da empresa no Senado, foi um portal de acesso remoto que não tinha autenticação multifator.

Dados de 190 milhões de pessoas — a maior violação de dados de saúde já relatada; perdas de até US$ 100 milhões por dia para os prestadores; um resgate de US$ 22 milhões pago em Bitcoin.

Um portal de acesso remoto com acesso de produção operava sem autenticação multifator — o único controle que teria barrado credenciais roubadas de imediato.

A rede de sinistros e pagamentos era um único ponto de estrangulamento nacional: quando ela saiu do ar, farmácias, clínicas e hospitais de todo o país perderam seus canais de faturamento de uma só vez.

O ransomware foi detonado nove dias após a intrusão sem que ninguém detectasse o movimento lateral — a detecção ficou muito atrás do tempo de permanência dos atacantes.

Uma única porta sem autenticação pode impedir que os hospitais de uma nação recebam. Imponha MFA em todos os lugares e faça testes de estresse para o dia em que seu ponto único de falha se tornar o de todos os outros.

Witty depôs perante a Comissão de Finanças do Senado em 1º de maio de 2024, confirmando o resgate de US$ 22 milhões e a ausência de MFA. Em outubro de 2024, a UnitedHealth relatou 100 milhões de indivíduos afetados; até janeiro de 2025, a estimativa quase dobrou, chegando a 190 milhões. Dezenas de ações judiciais foram consolidadas em um litígio multidistrital em Minnesota, a investigação de direitos civis do HHS permaneceu aberta, e o episódio se tornou o caso de referência para o risco nacional de concentrar os pagamentos de saúde dos EUA em uma única empresa.