Gestolen inloggegevens voor een Citrix-portaal maakten het mogelijk voor aanvallers om toegang tot systemen van het Amerikaanse zorgbedrijf Change Healthcare te krijgen en daar persoonlijke informatie van een 'aanzienlijk deel' van de Amerikaanse bevolking te stelen. Dat heeft de ceo van UnitedHealth, moederbedrijf van Change Healthcare, laten weten.

Change Healthcare verwerkt verzekeringen, declaraties en facturen voor honderdduizenden ziekenhuizen, apotheken en medische praktijken in heel de Verenigde Staten. Het bedrijf claimt dat het jaarlijks miljarden zorgtransacties verwerkt, alsmede een derde van de Amerikaanse patiëntendossiers. Het zou beschikken over de gezondheidsgegevens van de helft van de Amerikaanse bevolking. Begin februari werd Change Healthcare getroffen door een ransomware-aanval die grote gevolgen voor de Amerikaanse gezondheidszorg had.

Het bedrijf bevestigde eerder al dat het de criminelen losgeld heeft betaald om de gegevens van patiënten te beschermen. Naar verluidt zouden de criminelen achter de ALPHV-ransomware, ook bekend als BlackCat, 22 miljoen dollar hebben ontvangen. Morgen moet Andrew Witt, ceo van Change Healthcare, getuigen voor een commissie van het Amerikaanse Huis van Afgevaardigden.

In aanloop naar de hoorzitting heeft Witt zijn geschreven getuigenis beschikbaar gemaakt (pdf). Daarin staat dat criminelen op 12 februari gecompromitteerde inloggegevens gebruikten om toegang te krijgen tot het Citrix-portaal van Change Healthcare. Voor het portaal werd geen multifactorauthenticatie (MFA) gebruikt. Zodra de aanvallers toegang hadden wisten ze zich op 'meer geraffineerde' manieren lateraal binnen het netwerk te bewegen en gegevens te stelen. Negen dagen later werd de ransomware uitgerold.

Volgens Witt was de beslissing om het losgeld te betalen één van de moeilijkste beslissingen die hij ooit heeft moeten nemen. Verdere details over de aanval zijn niet in de getuigenis gegeven. Wel laat het bedrijf weten dat vanwege de aanval duizenden laptops zijn vervangen en inloggegevens aangepast. Eerder deze maand meldde UnitedHealth dat de cyberaanval het bedrijf in het eerste kwartaal van dit jaar 872 miljoen dollar heeft gekost. De totale omzet dit kwartaal bedroeg bijna 100 miljard dollar (pdf).