El director ejecutivo de UHG dice que los piratas informáticos de Change Healthcare están utilizando credenciales robadas, y no MFA

Credito de imagen: Patrick Sisson / AB

La banda de ransomware que pirateó al gigante estadounidense de tecnología sanitaria Change Healthcare utilizó un conjunto de credenciales robadas para acceder de forma remota a los sistemas de la empresa no protegidos por autenticación multifactor (MFA), según el director ejecutivo de su empresa matriz UnitedHealth Group (UHG). )

Andrew Whitty, director ejecutivo de UnitedHealth Dio pruebas escritas Antes de una audiencia del subcomité de la Cámara de Representantes el miércoles sobre el ataque de ransomware de febrero, causó meses de interrupciones en todo el sistema de salud de EE. UU.

Una compañía de seguros de salud ha evaluado por primera vez cómo los piratas informáticos irrumpieron en los sistemas de salud, extrayendo cantidades masivas de datos de salud de sus sistemas. UnitedHealth dijo la semana pasada que los piratas informáticos habían robado datos de salud de «una proporción significativa de la población de Estados Unidos».

Change Healthcare procesa reclamaciones de facturación y seguros médicos para más de la mitad de los residentes de EE. UU.

Según el testimonio de Witty, los piratas informáticos «utilizaron credenciales comprometidas de forma remota para alterar el portal de atención médica Citrix». Empresas como Change utilizan el software Citrix para permitir que los empleados accedan de forma remota a sus computadoras de trabajo en sus redes internas.

Whitty no dio más detalles sobre cómo se robaron las credenciales. El periodico de Wall Street El hacker fue el primero en informar sobre el uso de credenciales comprometidas La semana pasada.

Sin embargo, Witty dijo que el portal «carece de autenticación multifactor», una característica de seguridad básica que evita el uso indebido de contraseñas robadas al requerir que se envíe un segundo código a un dispositivo confiable, como el teléfono de un empleado. No está claro por qué el cambio de sistema no configura la autenticación multifactor, pero podría convertirse en un foco para los investigadores que intentan comprender fallas potenciales en los sistemas de la aseguradora.

«Una vez que un actor de amenazas obtuvo acceso, se movió lateralmente hacia los sistemas de maneras muy sofisticadas y extrajo datos», dijo Witty.

Witty dijo que los piratas informáticos utilizaron ransomware nueve días después, el 21 de febrero, lo que llevó a la empresa de atención médica a cerrar su red para contener la infracción.

UnitedHealth confirmó la semana pasada que había pagado un rescate a los piratas informáticos responsables del ciberataque. Los piratas informáticos conocidos como RansomHub son el segundo grupo que denuncia el robo de datos después de publicar una parte de los datos robados en la web oscura y exigir un rescate para no vender la información.

UnitedHealth dijo a principios de este mes que un ataque de ransomware le costó a la empresa más de 870 millones de dólares en el primer trimestre, en el que la empresa generó 100 mil millones de dólares en ingresos.