El director ejecutivo de UnitedHealth dice que la empresa pagó a los piratas informáticos un rescate de 22 millones de dólares

Grupo UnitedHealth El director ejecutivo Andrew Witty confirmó por primera vez que la compañía pagó un rescate de 22 millones de dólares a los piratas informáticos que violaron su filial Change Healthcare y causaron consecuencias generalizadas en todo el sector sanitario. Los comentarios de Witty se hicieron durante una audiencia el miércoles ante el Comité de Finanzas del Senado de Estados Unidos.

Change Healthcare ofrece pagos, gestión de ingresos y otras soluciones, como software de recetas electrónicas. La empresa desconectó los sistemas afectados cuando se detectó la amenaza, lo que dejó a muchos médicos temporalmente incapaces de surtir recetas o recibir pagos por sus servicios.

UnitedHealth le dijo a CNBC en abril que pagó un rescate para intentar proteger los datos de los pacientes. Informes anteriores habían descubrió una transferencia de 22 millones de dólares en la cadena de bloques de Bitcoin, pero la compañía no había confirmado la cifra hasta ahora.

«Como director ejecutivo, la decisión de pagar un rescate fue mía», dijo Witty. «Esta fue una de las decisiones más difíciles que he tenido que tomar y no se la deseo a nadie».

UnitedHealth es una de las empresas más grandes del mundo, con una capitalización de mercado de aproximadamente 450 mil millones de dólares. Su unidad de negocio Optum, que brinda atención a 103 millones de clientes, y Change Healthcare, que toca uno de cada tres registros de pacientes, se fusionaron en 2022.

El presidente del comité, Sen. Ron WydenD-Ore., dijo en sus comentarios de apertura que la violación de Change Healthcare sirve como una «advertencia terrible sobre las consecuencias de las megacorporaciones demasiado grandes para quebrar».

«Las empresas tan grandes tienen la obligación de proteger a sus clientes y liderar este tema», afirmó Wyden.

Witty dijo al comité que los ciberdelincuentes accedieron a Change Healthcare a través de un servidor que no estaba protegido por autenticación multifactor, o MFA, que requiere que los usuarios verifiquen su identidad al menos de dos maneras diferentes. Dijo que UnitedHealth ahora cuenta con MFA en todos los sistemas externos.

«Como resultado de este ciberataque malicioso, los pacientes y proveedores han experimentado interrupciones y la gente está preocupada por sus datos de salud privados», dijo Witty. «A todos los afectados, permítanme ser muy claro: lo siento profundamente».

El senador Thom Tillis, RN.C., mostró una copia de color amarillo brillante de «Hacking for Dummies» durante la audiencia y dijo que es responsabilidad de UnitedHealth solucionar la infracción.

«Estas son algunas cosas básicas que se pasaron por alto, así que es una vergüenza para la auditoría interna, la auditoría externa y la gente de sistemas encargada de la redundancia, no están haciendo su trabajo», dijo Tillis.

Una presentación ante la Comisión de Bolsa y Valores de EE. UU. decía que UnitedHealth descubrió que un actor de amenazas cibernéticas accedió a parte de la red de tecnología de la información de Change Healthcare a fines de febrero.

Witty dijo que los sistemas centrales de Change Healthcare están nuevamente en línea, aunque algunas de sus funciones de soporte secundarias aún se están restaurando.

UnitedHealth dijo en febrero que el grupo de ransomware Blackcat estaba detrás del ataque. Blackcat, que también se conoce con el nombre de Noberus y ALPHV, roba datos confidenciales de instituciones y amenaza con publicarlos a menos que se pague un rescate, según un informe. lanzamiento de diciembre del Departamento de Justicia de Estados Unidos.

UnitedHealth confirmó en abril que los archivos que contenían información de salud protegida e información de identificación personal se vieron comprometidos en la infracción. La compañía dijo que se está realizando una revisión de datos, por lo que podrían pasar meses antes de que pueda notificar a las personas afectadas.

Witty dijo el miércoles que UnitedHealth está trabajando con los reguladores para evaluar la violación e informar a las personas si su información se ha visto comprometida «lo antes posible».

A principios de marzo, UnitedHealth lanzó un programa temporal asistencia financiera programa para ayudar a apoyar a los proveedores que han experimentado interrupciones en el flujo de efectivo debido al ciberataque. No hay tarifas, intereses u otros costos además de los pagos, y los proveedores tienen 45 días para reembolsar los fondos una vez que se reanuden sus operaciones de pago estándar.

Durante la audiencia, Witty dijo que la compañía aún no ha pedido a nadie el pago del préstamo y que dependerá de los proveedores determinar cuándo sus operaciones han vuelto oficialmente a la normalidad.

Witty no reveló directamente si UnitedHealth brindará apoyo adicional a los proveedores que puedan tener que lidiar con otros préstamos y pagos de intereses debido al incumplimiento.

El senador Michael Bennet, demócrata por Colorado, presionó a Witty para que compartiera cómo UnitedHealth está trabajando para garantizar que algo como la violación de Change Healthcare no vuelva a suceder. Witty dijo que la compañía planea compartir lo que descubra sobre la violación con otros, y agregó que es necesario centrarse en reducir la tasa de ataques cibernéticos en el sector de la salud.

«Estamos claramente tratando de asumir nuestra responsabilidad en este ataque. También estamos tratando de aprender de ello», afirmó.