Change Healthcare：一個沒有多因素驗證的登入，讓駭客癱瘓美國醫療體系數週

2024年2月，攻擊者使用竊得的憑證，登入一個沒有多因素驗證的 Change Healthcare Citrix 遠端存取入口網站。UnitedHealth Group 執行長後來在參議院聽證會上證實，他們在內部橫向移動了九天，並竊取約六TB的資料，隨後於2月21日引爆 ALPHV/BlackCat 勒索軟體。擁有 Change Healthcare 的 UnitedHealth 中斷了該平台——連同推動美國醫療理賠與支付的管道也一併中斷。

藥局無法驗證保險；醫師無法請款。病患自費買藥，或根本拿不到藥。醫療提供者——尤其是小型診所——在高峰時期估計每天損失一億美元，部分甚至瀕臨破產。HHS 為醫院啟動緊急彈性措施，其民權辦公室展開調查，同時 UnitedHealth 開始預付數十億美元的緊急款項，以維持醫療提供者的營運。

3月，一筆支付給 ALPHV 錢包的2200萬美元比特幣款項曝光——後來經 UnitedHealth 自家執行長證實。約1.9億人的資料最終被確認外洩，這是向美國監管機關通報過的最大規模醫療資料外洩事件。而根據該公司自己在參議院的證詞，入侵點就是一個缺乏多因素驗證的遠端存取入口網站。

1.9億人的資料——歷來通報過的最大規模醫療資料外洩；醫療提供者每天損失最高達一億美元；以比特幣支付的2200萬美元贖金。

一個具備生產環境存取權限的遠端存取入口網站，在沒有多因素驗證的情況下運作——而這正是唯一能徹底擋下竊得憑證的控管措施。

理賠與支付網路是全國單一的瓶頸：當它停擺，全國各地的藥局、診所與醫院同時失去請款管道。

勒索軟體在入侵九天後才引爆，期間無人察覺橫向移動——偵測能力遠遠落後於攻擊者的潛伏時間。

一扇未經驗證的門，就能讓一個國家的醫院收不到錢。在所有環節強制執行多因素驗證，並針對你的單一故障點變成所有人共同故障點的那一天，進行壓力測試。

Witty 於2024年5月1日在參議院財政委員會作證，確認了2200萬美元贖金與多因素驗證缺失。2024年10月，UnitedHealth 通報有1億人受影響；到2025年1月，估計數字幾乎翻倍至1.9億人。數十起訴訟被合併為明尼蘇達州的多區訴訟，HHS 的民權調查仍在進行，而這起事件已成為美國醫療支付集中於單一公司所帶來全國性風險的參考案例。