يقول الرئيس التنفيذي لشركة UnitedHealth إن الشركة دفعت للمتسللين فدية قدرها 22 مليون دولار
وفي جلسة استماع يوم الأربعاء أمام لجنة المالية بمجلس الشيوخ الأمريكي، مجموعة يونايتد هيلث أكد الرئيس التنفيذي أندرو ويتي للمرة الأولى أن الشركة دفعت فدية قدرها 22 مليون دولار للمتسللين الذين انتهكوا أنظمة شركة Change Healthcare التابعة لها.
توفر شركة Change Healthcare الدفع وإدارة الإيرادات وحلول أخرى مثل برامج الوصفات الطبية الإلكترونية.
تسبب الهجوم السيبراني في تداعيات واسعة النطاق عبر قطاع الرعاية الصحية. قامت الشركة بفصل الأنظمة المتضررة عند اكتشاف التهديد، مما ترك العديد من الأطباء غير قادرين مؤقتًا على صرف الوصفات الطبية أو الحصول على أموال مقابل خدماتهم.
قالت شركة UnitedHealth لشبكة CNBC في أبريل إنها دفعت فدية لمحاولة حماية بيانات المرضى. وكانت تقارير سابقة قد اكتشفت تحويلاً بقيمة 22 مليون دولار على بلوكتشين بيتكوين، لكن الشركة لم تؤكد هذا الرقم حتى الآن.
وقال ويتي: “بصفتي الرئيس التنفيذي، كان قرار دفع الفدية قراري”. “كان هذا أحد أصعب القرارات التي اضطررت إلى اتخاذها على الإطلاق، ولا أتمنى ذلك لأي شخص.”
UnitedHealth هي واحدة من أكبر الشركات في العالم، حيث تبلغ قيمتها السوقية حوالي 450 مليار دولار. تم دمج وحدة أعمالها Optum – التي توفر الرعاية لـ 103 مليون عميل – وChange Healthcare – التي تمس واحدًا من كل ثلاثة سجلات للمرضى – في عام 2022.
وقال رئيس اللجنة السيناتور رون وايدن، ديمقراطي من ولاية أوريغون، في كلمته الافتتاحية إن خرق برنامج “تغيير الرعاية الصحية” يعد بمثابة “تحذير شديد بشأن العواقب المترتبة على الشركات الكبرى الأكبر من أن تفشل”.
وقال وايدن: “الشركات الكبيرة جدًا ملزمة بحماية عملائها والقيادة في هذه القضية”.
أخبر ويتي اللجنة أن مجرمي الإنترنت تمكنوا من الوصول إلى Change Healthcare من خلال خادم غير محمي بواسطة المصادقة متعددة العوامل، أو MFA، والتي تتطلب من المستخدمين التحقق من هويتهم بطريقتين مختلفتين على الأقل. وقال إن UnitedHealth لديها الآن MFA في جميع الأنظمة الخارجية.
وقال ويتي: “نتيجة لهذا الهجوم الإلكتروني الخبيث، عانى المرضى ومقدمو الخدمات من اضطرابات، وأصبح الناس قلقين بشأن بياناتهم الصحية الخاصة”. “إلى جميع المتأثرين، اسمحوا لي أن أكون واضحا للغاية: أنا آسف للغاية”.
رفع السيناتور توم تيليس، الجمهوري عن ولاية كارولينا الشمالية، نسخة صفراء زاهية من “Hacking for Dummies” أثناء جلسة الاستماع، وقال إن الانتهاك يقع على عاتق UnitedHealth لإصلاحه.
وقال تيليس: “هذه بعض الأشياء الأساسية التي تم تفويتها، لذا من العار على التدقيق الداخلي والمراجعة الخارجية وأفراد أنظمتكم المكلفين بالتكرار، أنهم لا يقومون بعملهم”.
اكتشفت شركة UnitedHealth أن جهة فاعلة للتهديد السيبراني وصلت إلى جزء من شبكة تكنولوجيا المعلومات الخاصة بشركة Change Healthcare في أواخر فبراير، وفقًا لإيداع لدى هيئة الأوراق المالية والبورصة الأمريكية.
وقال ويتي إن أنظمة Change Healthcare الأساسية عادت إلى الإنترنت، على الرغم من أن بعض وظائف الدعم الثانوية لا تزال قيد الاستعادة.
وقالت شركة UnitedHealth في فبراير/شباط الماضي إن مجموعة Blackcat لبرامج الفدية كانت وراء الهجوم. تقوم شركة Blackcat، والتي تحمل أيضًا الأسماء Noberus وALPHV، بسرقة البيانات الحساسة من المؤسسات وتهدد بنشرها ما لم يتم دفع فدية، وفقًا لبيان صدر في ديسمبر عن وزارة العدل الأمريكية.
وأكدت شركة UnitedHealth في أبريل أن الملفات التي تحتوي على معلومات صحية محمية ومعلومات تعريف شخصية قد تم اختراقها في الانتهاك. وقالت الشركة إن مراجعة البيانات لا تزال مستمرة، لذا قد يستغرق الأمر أشهرًا قبل أن تتمكن الشركة من إخطار الأفراد المتضررين.
وقال ويتي يوم الأربعاء إن شركة UnitedHealth تعمل مع المنظمين لتقييم الانتهاك وإبلاغ الأشخاص إذا كانت معلوماتهم قد تعرضت للاختراق “في أقرب وقت ممكن”.
في أوائل شهر مارس، أطلقت شركة UnitedHealth برنامجًا مؤقتًا للمساعدة التمويلية لمساعدة مقدمي الخدمات الذين عانوا من انقطاع التدفق النقدي بسبب الهجوم السيبراني. لا توجد رسوم أو فوائد أو تكاليف أخرى بالإضافة إلى المدفوعات، وأمام مقدمي الخدمات 45 يومًا لسداد الأموال بمجرد استئناف عمليات الدفع القياسية الخاصة بهم.
خلال جلسة الاستماع، قال ويتي إن الشركة لم تطلب بعد من أي شخص سداد أقساط القرض، وسيكون الأمر متروكًا لمقدمي الخدمة لتحديد متى عادت عملياتهم رسميًا إلى طبيعتها.
لم يكشف Witty بشكل مباشر عما إذا كانت UnitedHealth ستقدم دعمًا إضافيًا لمقدمي الخدمات الذين قد يتعاملون مع القروض الأخرى ومدفوعات الفائدة بسبب الانتهاك.
ضغط السيناتور مايكل بينيت، الديمقراطي عن ولاية كولورادو، على ويتي لمشاركة كيفية عمل UnitedHealth للتأكد من أن شيئًا مثل انتهاك Change Healthcare لن يحدث مرة أخرى. وقال ويتي إن الشركة تخطط لمشاركة ما تكتشفه حول الاختراق مع الآخرين، وأن هناك حاجة للتركيز على كيفية تقليل معدل الهجمات الإلكترونية على قطاع الرعاية الصحية.
وأضاف “من الواضح أننا نحاول تحمل مسؤوليتنا في هذا الهجوم. ونحاول أيضا أن نتعلم منه”.
