Een testserver van HealthCare.gov waar aanvallers in juli malware op wisten te plaatsen gebruikte een standaardwachtwoord. Dat heeft Ann Barron-DiCamillo, directeur van het Amerikaanse Computer Emergency Readiness Team, tijdens een hoorzitting (PDF) voor een overheidscommissie laten weten.

Volgens Barron-DiCamillo hadden de aanvallers malware geïnstalleerd voor het uitvoeren van Distributed Denial of Service (DDoS)-aanvallen. "Deze malware is niet ontworpen om gegevens te stelen en er zijn geen aanwijzingen dat er data als gevolg van deze infectie gecompromitteerd zijn geraakt." Het testnetwerk was daarnaast gescheiden van het productienetwerk en er zouden geen "laterale bewegingen" in het productienetwerk zijn waargenomen die met de besmetting samenhingen.

De aanvallers konden toegang krijgen omdat de testserver in een onbeveiligde configuratie was uitgerold, aldus Barron-DiCamillo. "Dit houdt in dat het standaardwachtwoord niet was aangepast." Inmiddels zouden de wachtwoorden van alle servers, waaronder ook testservers, zijn gecontroleerd, zo meldt NextGov. Via HealthCare.gov kunnen Amerikaanse burgers zorgverzekeringen vergelijken en afsluiten. Inmiddels hebben zes miljoen Amerikanen een account bij de website die de Amerikaanse overheid zelf beheert.