La violation de données Change Healthcare, confirmée le 22 octobre 2024 par UnitedHealth, est devenue l’une des plus grandes violations de données de santé de l’histoire des États-Unis. Cette cyberattaque a exposé les informations personnelles et médicales sensibles de plus de 100 millions de personnes. Il a été provoqué par une attaque de ransomware contre Change Healthcare, une filiale de UnitedHealth, en février 2024. Nous fournissons ici un aperçu clair et complet de l’incident, de ses conséquences et des questions que les gens pourraient se poser.
Violation des données de Change Healthcare : que s’est-il passé ?
En février 2024, Change Healthcare a été touchée par une attaque de ransomware orchestrée par le groupe ALPHV/BlackCat. Les attaquants ont utilisé des informations d’identification volées pour pirater le système d’accès à distance de l’entreprise, qui manquait d’authentification multifacteur (MFA). Cela leur a permis de voler environ six téraoctets de données et de chiffrer les systèmes informatiques de l’entreprise, entraînant des pannes généralisées dans le secteur de la santé. L’attaque a touché de nombreux établissements de santé, notamment des hôpitaux, des cliniques et des pharmacies, qui dépendaient fortement de Change Healthcare pour le traitement des réclamations d’assurance et d’autres opérations essentielles.
UnitedHealth, la société mère de Change Healthcare, a admis avoir payé une rançon de 22 millions de dollars aux attaquants pour un décrypteur et la promesse que les données volées seraient supprimées. Cependant, les filiales du groupe de ransomware ont affirmé qu’elles disposaient toujours des données et ont exigé un paiement supplémentaire, ce qui a conduit à une deuxième série de tentatives d’extorsion. Cela a entraîné une incertitude et un stress prolongés pour les personnes concernées, les prestataires de soins de santé et les patients, qui n’étaient pas sûrs de la sécurité de leurs informations sensibles.
L’attaque a également entraîné d’importantes perturbations dans la fonctionnalité globale du système de santé. Le manque d’accès aux systèmes critiques signifiait que les prestataires de soins de santé avaient du mal à fournir des services efficacement et que les patients étaient confrontés à des retards dans la réception des traitements nécessaires. La violation de données de Change Healthcare a mis en évidence la fragilité de l’infrastructure informatique du secteur de la santé, en particulier lorsqu’elle est ciblée par des cyberattaques bien coordonnées.
Informations exposées dans la violation de données Change Healthcare
La violation de données a exposé une grande quantité d’informations personnelles et liées aux soins de santé, notamment :
- Informations sur l’assurance maladie: Détails de la politique, identifiants des membres et informations Medicaid/Medicare. Ce type de données est très sensible, car elles peuvent être utilisées pour des réclamations d’assurance frauduleuses et pour le vol d’identité.
- Informations sur la santé: Numéros de dossier médical, diagnostics, traitements, médicaments, résultats de tests et détails des soins. Ces informations sont non seulement sensibles, mais aussi profondément personnelles, et leur exposition peut avoir de graves conséquences sur la vie privée et le bien-être des individus.
- Informations de facturation et financières: Numéros de réclamation, détails de paiement et informations financières et bancaires. L’exposition d’informations financières expose les personnes concernées à un risque de fraude financière et d’usurpation d’identité.
- Identifiants personnels: Numéros de sécurité sociale, permis de conduire et numéros de passeport. Ces identifiants sont essentiels pour établir l’identité d’un individu, ce qui rend son exposition particulièrement dangereuse.
Le type d’informations volées variait selon les individus, et toutes les personnes concernées n’ont pas vu leurs antécédents médicaux complets compromis. Cependant, le volume et la diversité des données volées font de cette violation l’une des plus préoccupantes de l’histoire récente. L’utilisation abusive potentielle de ces informations présente un risque important pour la vie privée, la sécurité financière et le bien-être général des individus.
L’attaque du ransomware en février a provoqué d’importantes perturbations dans le système de santé. Les médecins, les cliniques et les pharmacies ont rencontré des difficultés à traiter les réclamations d’assurance, ce qui a eu un impact sur l’accès des patients aux médicaments et traitements préautorisés. Les petits prestataires de soins de santé et les pharmacies rurales ont été particulièrement touchés, certains étant même confrontés à l’insolvabilité en raison de l’arrêt des paiements. L’incapacité de traiter les demandes et les paiements en temps opportun a entraîné de graves difficultés financières pour ces petits prestataires, dont beaucoup fonctionnent avec des budgets serrés.
La violation a également mis en évidence des vulnérabilités dans la sécurité des données de santé, ce qui a soulevé des questions sur les pratiques de cybersécurité d’UnitedHealth. Lors d’une audience au Congrès, Andrew Witty, PDG d’UnitedHealth, a admis que la violation de données de Change Healthcare aurait pu être évitée si l’entreprise avait utilisé l’authentification multifacteur. Malgré des dépenses annuelles de 300 millions de dollars en cybersécurité, UnitedHealth n’a pas réussi à mettre en œuvre cette mesure de protection de base. Cet échec a non seulement permis aux attaquants d’y accéder, mais a également soulevé des inquiétudes quant à l’efficacité de la stratégie globale de cybersécurité d’UnitedHealth.
La violation des données de Change Healthcare a également conduit à une surveillance accrue de la part des régulateurs et des législateurs. Le ministère américain de la Santé et des Services sociaux (HHS) et d’autres organismes de réglementation ont lancé des enquêtes sur les pratiques de cybersécurité d’UnitedHealth et sur leur incapacité à protéger les données sensibles de santé. Les législateurs ont appelé à des réglementations plus strictes et à des exigences plus strictes pour les organismes de santé afin de garantir que de telles violations ne se reproduisent plus. Cet incident a déclenché une discussion plus large sur la nécessité d’améliorer les normes de cybersécurité dans le secteur de la santé.
Ce qu’il faut faire?
Groupe de santé uni a partagé des conseils cruciaux sur les mesures que vous pouvez prendre à la suite de leur récent incident de violation de données.
1. Inscrivez-vous à la surveillance gratuite du crédit
- Accédez à des services gratuits de surveillance du crédit: United Health Group offre deux ans de surveillance gratuite du crédit et de protection de l’identité via IDX. Pour vous inscrire, cliquez sur le lien « S’inscrire maintenant » ou appelez le 1-888-846-4705.
- Protégez votre identité: Ce service surveille toute utilisation abusive potentielle de vos informations, fournissant des alertes et une assistance si une activité suspecte est détectée. La couverture est payée pendant deux ans par Change Healthcare.
2. Surveillez vos dossiers de santé et financiers
- Passez en revue vos déclarations de soins de santé: Vérifiez régulièrement vos relevés d’explication des prestations (EOB) et les documents des prestataires de soins de santé pour repérer tout service inconnu ou non autorisé.
- Vérifier les états financiers: Surveillez vos relevés bancaires et de carte de crédit, ainsi que vos dossiers fiscaux, pour tout frais ou transaction imprévu.
- Signaler les activités suspectes: Si vous remarquez une activité inhabituelle, contactez immédiatement votre fournisseur de soins de santé, votre régime d’assurance ou votre institution financière. En cas d’activité non autorisée, déposez un rapport de police auprès des forces de l’ordre locales.
3. Restez informé de la violation
- Vérifiez votre notification: Change Healthcare a commencé à envoyer des notifications par courrier aux personnes touchées par la violation. Cette notification comprend des détails sur les données qui peuvent avoir été compromises. Si vous pensez être concerné, assurez-vous que vos coordonnées sont mises à jour auprès de United Health Group.
- Rechercher de l’aide si nécessaire: Un centre d’appels dédié (1-866-262-5342) est disponible pour répondre aux questions, fournir une assistance en matière de surveillance du crédit et offrir un soutien émotionnel par l’intermédiaire de cliniciens qualifiés.
4. Renforcez votre sécurité financière
- Commandez un rapport de crédit gratuit: Accédez à votre rapport de crédit annuel de chaque bureau de crédit via www.annualcreditreport.com ou en appelant le 877-322-8228. Ce rapport permet d’identifier tout compte ou vérification de crédit inconnu.
- Placer une alerte à la fraude: Une alerte de fraude avertit les créanciers de prendre des mesures de vérification supplémentaires avant d’ouvrir de nouveaux comptes à votre nom. Vous pouvez ajouter une alerte de fraude en contactant l’un des bureaux de crédit :
- Équifax: 800-525-6285
- Expérien: 888-397-3742
- TransUnion: 800-680-7289
- Gelez votre crédit: Un gel de sécurité empêche l’ouverture de nouveaux crédits à votre nom. Contactez chaque bureau de crédit pour demander un gel :
- Équifax: 800-525-6285
- Expérien: 888-397-3742
- TransUnion: 800-680-7289
5. Comprendre les protections
- Alerte à la fraude ou gel de la sécurité :
- Alerte à la fraude: Ajoute une notification à votre rapport de crédit indiquant que vous pourriez être victime d’une fraude. Les créanciers doivent vérifier votre identité avant d’ouvrir de nouveaux comptes.
- Gel de sécurité: Empêche les créanciers d’accéder entièrement à votre rapport de crédit, bloquant les nouveaux comptes à moins que vous ne leviez le gel.
Impact financier de la violation de données Change Healthcare
L’impact financier de la violation de données de Change Healthcare a été considérable. L’attaque de février a entraîné des pertes de 872 millions de dollars, qui ont atteint 2,45 milliards de dollars fin septembre 2024. Ces coûts comprenaient des paiements accélérés et des prêts sans intérêt aux prestataires de soins de santé concernés, la reconstruction des systèmes de Change Healthcare et les efforts de réponse aux incidents. Le fardeau financier ne se limitait pas à UnitedHealth ; de nombreux prestataires de soins de santé qui comptaient sur les services de Change Healthcare étaient également confrontés à des difficultés financières importantes.
Outre les coûts directs liés à la réponse à cette violation, UnitedHealth a également subi une atteinte à sa réputation. Cette violation a érodé la confiance dans la capacité de UnitedHealth à protéger les données sensibles, et cette perte de confiance pourrait avoir des implications financières à long terme. Les patients et les prestataires de soins de santé peuvent hésiter à travailler avec une entreprise qui a connu une défaillance de sécurité aussi importante, pouvant entraîner une perte d’activité et de revenus.
L’impact financier s’est également étendu aux personnes touchées. Ceux dont les informations personnelles et financières ont été compromises couraient un risque d’usurpation d’identité et de fraude financière. De nombreuses personnes ont dû prendre des mesures pour se protéger, comme geler leur crédit, surveiller leurs comptes financiers et être vigilantes face aux signes d’usurpation d’identité. Le coût de ces mesures de protection, tant en termes de temps qu’en termes d’argent, s’est ajouté au fardeau global de la violation.
Combien de personnes ont été touchées par la violation ?
Plus de 100 millions de personnes ont été touchées par la violation de données Change Healthcare. Cela en fait l’une des plus grandes violations de données sur les informations de santé de l’histoire. Le nombre de personnes touchées souligne l’ampleur de l’attaque et la portée étendue des opérations de Change Healthcare à travers les États-Unis.
Quel type d’informations a été volé ?
Les données volées comprenaient des détails sur l’assurance maladie, des dossiers médicaux, des informations de facturation et de paiement, des numéros de sécurité sociale et d’autres identifiants personnels. Les mêmes types d’informations n’ont pas été compromises pour tous les individus, mais la diversité des données volées signifie que les risques potentiels sont variés et importants. L’exposition d’un si large éventail d’informations rend cette violation particulièrement préoccupante tant pour les individus que pour le secteur de la santé dans son ensemble.
Qui était responsable de la violation de données de Change Healthcare ?
L’attaque par ransomware a été menée par le groupe ALPHV/BlackCat, un gang de ransomware russophone. Après le paiement initial de la rançon, une filiale du groupe a créé une nouvelle opération de ransomware appelée RansomHub, exigeant un paiement supplémentaire de la part d’UnitedHealth. Cette série d’événements met en évidence les défis liés à la gestion des groupes de ransomwares, car même le paiement de la rançon ne garantit pas la sécurité des données volées.
#ALPHV arnaquer les affiliés ? 22 millions de dollars payés et retirés pic.twitter.com/0ocKoXNLme
— 𝕯𝖒𝖎𝖙𝖗𝖞 𝕾𝖒𝖎𝖑𝖞𝖆𝖓𝖊𝖙𝖘 (@ddd1ms) 4 mars 2024
Quelles mesures Change Healthcare a-t-elle prises en réponse à la violation ?
Change Healthcare s’est efforcé d’informer les personnes concernées et a offert son soutien aux consommateurs et aux prestataires de soins de santé. Ils ont également reconstruit des parties de leur réseau et mis en œuvre des mesures de sécurité supplémentaires. Ces mesures comprennent l’amélioration de leurs protocoles de cybersécurité, la mise en œuvre d’une authentification multifacteur et un examen approfondi de leurs pratiques de sécurité pour prévenir de futurs incidents. Il reste toutefois à démontrer l’efficacité de ces mesures pour restaurer la confiance et prévenir de futures violations.
Cette violation aurait-elle pu être évitée ?
Selon Andrew Witty, PDG d’UnitedHealth, la violation des données de Change Healthcare aurait pu être évitée si l’entreprise avait utilisé l’authentification multifacteur pour protéger ses systèmes d’accès à distance. Cela met en évidence l’échec de la mise en œuvre des protocoles de base en matière de cybersécurité. Le fait qu’une mesure aussi simple aurait pu empêcher l’une des plus grandes violations de données de santé de l’histoire souligne l’importance d’adhérer aux meilleures pratiques en matière de cybersécurité. Cela soulève également des questions sur l’état plus large de la cybersécurité dans le secteur de la santé et sur la nécessité de réglementations plus strictes.
Quelles sont les conséquences à long terme de cette rupture ?
Les conséquences à long terme incluent une utilisation abusive potentielle des données volées à des fins d’usurpation d’identité ou de stratagèmes d’extorsion supplémentaires. La violation de données de Change Healthcare a également entraîné une perte de confiance dans la capacité de UnitedHealth à sécuriser les informations de santé sensibles et a incité un examen réglementaire de ses pratiques en matière de cybersécurité. De plus, la violation a déclenché un débat plus large sur la nécessité d’améliorer les normes de cybersécurité dans le secteur de la santé. L’impact à long terme sur les individus, les prestataires de soins de santé et le secteur dans son ensemble dépendra de l’efficacité avec laquelle UnitedHealth et les autres parties prenantes relèveront ces défis et mettront en œuvre les changements nécessaires.
Avec plus de 100 millions de personnes touchées, les conséquences de cette attaque rappellent la nécessité cruciale de meilleures garanties et d’une meilleure responsabilisation dans le secteur de la santé. L’incident a révélé d’importantes vulnérabilités dans la manière dont les données de santé sont protégées et a suscité des appels en faveur de réglementations plus strictes et de pratiques de sécurité plus efficaces.
Les enquêtes en cours visent à retrouver les responsables et à prévenir des incidents similaires à l’avenir. Cependant, la violation des données de Change Healthcare a déjà eu des conséquences considérables, affectant des millions de personnes, de prestataires de soins de santé et du système de santé dans son ensemble. Les leçons tirées de cette violation doivent être utilisées pour susciter des changements significatifs dans la manière dont les données de santé sont sécurisées, en garantissant que la confidentialité et la sécurité des informations sensibles des individus soient une priorité dans un monde de plus en plus numérique.
Crédits images : Kerem Gülen/Idéogramme
