UnitedHealth a admis que les données de santé de plus de 100 millions d'Américains ont été exposées lors d'un piratage. C’est la première fois que la société multinationale d’assurance et de services de santé attribue un numéro spécifique à la cyberattaque survenue plus tôt cette année.
UnitedHealth admet que les données de santé de 100 millions de citoyens américains ont été compromises
UnitedHealth Group (UHG) a acquis Change Healthcare en 2022. Les deux sociétés font désormais partie de la même organisation de santé sous la marque UnitedHealth.
En février de cette année, Change Healthcare a subi une violation massive de données. Cependant, l’entreprise n’a pas mentionné le nombre de personnes dont les données ont été exposées.
En mai, le PDG d'UnitedHealth, Andrew Witty, a indiqué que « peut-être un tiers » de toutes les données de santé des Américains ont été exposées lors de l'attaque. Un mois plus tard, Change Healthcare a publié une notification de violation de données, dans laquelle la société déclarait simplement que l'attaque du ransomware avait exposé une « quantité substantielle de données » pour une « proportion substantielle de personnes en Amérique ».
L’Office for Civil Rights (OCR) du ministère américain de la Santé et des Services sociaux a mis à jour le portail « Data Breach ». La chronique du piratage Change Healthcare mentionne que 100 millions de personnes sont concernées.
La plus grande violation de données de santé aux États-Unis ces dernières années
La section FAQ du site Web de l'OCR mentionne désormais « Le 22 octobre 2024, Change Healthcare a notifié à l'OCR qu'environ 100 millions de notifications individuelles ont été envoyées concernant cette violation. »
Inutile de dire qu’avec 100 millions de citoyens américains touchés, l’attaque de ransomware pourrait être l’une des plus importantes de ces dernières années. Ce qui est encore plus préoccupant, outre le nombre de civils, c'est la façon dont la violation de données a été gérée.
Selon Ordinateur qui bipeles acteurs malveillants ont volé 6 To de données à Change Healthcare. Les attaquants ont ensuite chiffré les ordinateurs du réseau. En guise de remède, la filiale UnitedHealth a arrêté ses systèmes informatiques. Cela a entraîné des pannes généralisées dans le système de santé américain.
Le groupe de ransomware BlackCat, qui a mené l'attaque, pourrait avoir reçu environ 22 millions de dollars de UnitedHealth Group. L'entreprise aurait payé pour recevoir une clé de déchiffrement et s'assurer que le groupe de ransomwares supprimait les données volées.
L'affilié qui travaillait avec le groupe de ransomwares n'a pas supprimé les données immédiatement. Cependant, l'entrée Change Healthcare a mystérieusement disparu du site Web de l'affilié. Cela suggère que UnitedHealth a peut-être payé une deuxième demande de rançon.
On ne sait pas exactement comment UnitedHealth sera pénalisé. T-Mobile a récemment payé une amende dérisoire de 31,5 millions de dollars pour plusieurs violations de données. Le transporteur recevra la moitié de l’argent pour investir dans la technologie visant à améliorer la cybersécurité.
