Change Healthcare：一次没有多因素认证的登录，让黑客令美国医疗系统瘫痪数周

2024年2月，攻击者使用窃取的凭据，登录了Change Healthcare一个没有多因素认证的Citrix远程访问门户。联合健康集团（UnitedHealth Group）首席执行官后来在参议院听证会上证实，攻击者在内网横向移动了九天，窃取了约6TB数据，随后于2月21日引爆了ALPHV/BlackCat勒索软件。拥有Change Healthcare的联合健康集团断开了该平台——随之切断的还有贯穿美国医疗体系的理赔与支付通道。

药房无法核验保险；医生无法开具账单。患者只能自费买药，或者干脆无药可用。医疗服务提供者——尤其是小型诊所——在高峰期估计每天损失1亿美元，一些机构濒临破产。美国卫生与公众服务部（HHS）为医院启动了紧急灵活性措施，其民权办公室启动了调查，同时联合健康集团开始预付数十亿美元紧急款项，以维持提供者的运转。

3月，一笔向ALPHV钱包支付的2200万美元比特币浮出水面——后来得到联合健康集团首席执行官本人的确认。最终查明约1.9亿人的数据遭到泄露，这是向美国监管机构报告过的最大规模医疗数据泄露事件。而按照该公司自己在参议院的证词，入侵入口是一个缺乏多因素认证的远程访问门户。

1.9亿人的数据——有史以来报告的最大规模医疗泄露事件；提供者每天损失最高达1亿美元；以比特币支付的2200万美元赎金。

一个拥有生产环境访问权限的远程访问门户在没有多因素认证的情况下运行——而多因素认证正是能够彻底挡住被盗凭据的那一项控制措施。

理赔与支付网络是一个单一的国家级咽喉点：它一旦停摆，全国各地的药房、诊所和医院就同时失去了账单处理通道。

勒索软件在入侵九天后才被引爆，期间无人发现横向移动——检测能力远远落后于攻击者的驻留时间。

一扇未经认证的门，就能让一个国家的医院拿不到钱。在所有环节强制实施多因素认证，并针对你的单点故障变成所有人单点故障的那一天进行压力测试。

Witty于2024年5月1日在参议院财政委员会作证，确认了2200万美元赎金和缺失的多因素认证。2024年10月，联合健康集团报告受影响人数为1亿；到2025年1月，估计数字几乎翻倍至1.9亿。数十起诉讼被合并为明尼苏达州的多地区诉讼，HHS的民权调查仍在进行，这一事件成为美国医疗支付集中于一家公司所带来国家风险的参照案例。