Ransomware-Angriff: Change Healthcare
Tech-Gigant nach Cyberangriff stark eingeschränkt, Apotheken betroffen.
| incidentID | Datum | Betroffene | Land | Sicherheitsvorfall | href | Land | Tags |
|---|
Ransomware-Angriff: Change Healthcare
Seit dem 21. Februar 2024 ist der Pharmatechnologiegigant Change Healthcare, ein Unternehmen der UnitedHealth Group, nach einem Cyberangriff sehr stark eingeschränkt. Seine Internetseiten sind kaum bis gar nicht erreichbar, und es ist Change Healthcare aktuell unmöglich, Rezepte, die über Versicherungen laufen, zu verarbeiten. Dies beeinträchtigt auch die Arbeit der Apotheken, in denen diese Rezepte normalerweise eingelöst werden.
Zur Art des Angriffs ist bisher nichts bekannt. In einer offiziellen Meldung an die US-Börsenaufsicht SEC wird ein Täter mit staatlichem Hintergrund verdächtigt.
Nachtrag vom 25.02.2024:
Das Naval Hospital Camp Pendleton meldet auf seiner Webseite, dass die Auswirkungen des Ausfalls Militärkliniken und Krankenhäuser weltweit betreffe. Sämtlich Apotheken des US-Militärs weltweit und Apotheken für Endkunden im US-Bundesgebiet sind betroffen.
Nachtrag vom 26.02.2024:
Change Healthcare gibt in seiner 8-K-Meldung an, dass nach aktuellen Vermutungen ein staatlich unterstützter Akteur für den Angriff verantwortlich sein könnte.
Nachtrag vom 27.02.2024:
BleepingComputer hat erklärt, Insider-Informationen hätten ergeben, dass die Attacke von ALPHV/BlackCat durchgeführt wurde, und dass für den Angriff eine Authorisierungs-Schwachstelle mit der Kennung CVE-2024-1709 ausgenutzt wurde.
Nachtrag vom 29.02.2024:
ALPHV/BlackCat behaupten, 6 TB an Daten erbeutet zu haben, darunter auch Quellcode und Informationen zu den Militärprogrammen, an denen Change Healthcare beteiligt ist, sowie diversen anderen Versicherungsoptionen.
Nachtrag vom 06.03.2024:
Nachdem eine Kryptoadresse von ALPHV Bitcoin im Wert von 22 Mio USD erhalten hat, vermuten Sicherheitsforscher, dass Change Healthcare ein Lösegeld an die Täter gezahlt hat. Des Weiteren hat sich ein angeblicher Affiliate der Gruppe am, 3. März 2024 in einem Hackerforum gemeldet. Der Nutzer behauptet, dass ALPHV ihn um die Lösegeldsumme betrogen hat, die laut seinen Schilderungen das Tochterunternehmen Optum zahlte, und dass sein Zugriff zu ALPHV-Portalen nach Eingang der Zahlung eingeschränkt wurde.
Der Nutzer behauptet weiterhin, im Besitz von 4 TB an Daten von Change Healthcare zu sein. Diese sollen Informationen zu allen Kunden des Unternehmens enthalten. Außerdem rät er anderen dazu ab, mit ALPHV zusammenzuarbeiten.
Nach den veröffentlichten Beiträgen des angeblichen Affiliates hat die Ransomware-Gruppe sämtliche eigenen Server bis zum 5. März 2024 heruntergefahren. Auf einem Messagingportal verabschiedeten sich die über Jahre aktiven Akteure der Gruppe und boten den Source-Code der hauseigenen Ransomware für 5 Mio USD an. Außerdem posteten die Akteure von ALPHV, dass sie das Projekt aufgrund von Ermittlungen seitens Bundesbehörden gestoppt haben. Auf der Webseite von ALPHV wird ein Banner angezeigt, auf dem angegeben wird, dass die Webseite von verschiedenen Sicherheitsbehörden, darunter auch das FBI und das BKA, beschlagnahmt wurde.
Wie eine dort gelistete Behörde mitteilte, sei dies nicht der Fall. Sicherheitsforscher vermuten, dass sich die Gruppe neu aufstellt, oder einen Exit-Scam mit dem Lösegeld von Change Healthcare, bzw. Optum durchgeführt hat.
Change Healthcare äußerte sich nicht zu den Lösegeldforderungen.
Nachtrag vom 07.03.2024:
Das amerikanische Ministerium für Gesundheitspflege und Soziale Dienste (HHS) hat sich mittlerweile eingeschaltet, um den immer noch andauernden Problemen infolge der Attacke auf Change Healthcare Herr zu werden. Hierbei handelt es ich vorrangig um einen Plan, der Zahlungen, die durch den Ausfall bei Change Healthcare nicht stattfinden können, trotzdem möglich machen soll.
Nachtrag vom 12.03.2024:
Nach Angaben von UnitedHealth sind seit dem 7. März 2024 einige der von Change Healthcare angebotenen Dienste wieder verfügbar, darunter elekronische Rezepte, die Weiterleitung von Forderungen an Versicherungsunternehmen sowie die Zahlungsverarbeitung an sich. Elektronische Zahlungen sollen am 15. März wieder funktionieren, das Forderungsnetzwerk des Unternehmens in der Woche des 18. März.
Nachtrag vom 20.03.2024:
UnitedHealth hat aufgrund des Angriffs bereits Zwei Mrd. USD an Gesundheitsdienstleister ausgezahlt, die von dem Angriff auf Change betroffen sind.
Nachtrag vom 29.03.2024:
UnitedHealth hat betroffenen Gesundheitsdienetleistern mittlerweile über 3 Milliarden US-Dollar ausgezahlt. Es wird erwartet, dass die Störungen bis in den April andauern werden.
Nachtrag vom 10.04.2024:
Der mutmaßliche Komplize, der von AlphV hintergangen wurde, fordert nun von Change Healthcare ein Lösegeld. Er droht damit, 4 TB gestohlener Daten im Darknet zu verkaufen. Diese Daten enthalten sensible Informationen wie medizinische Daten, Telefonnummern, Adressen und Sozialversicherungsnummern.
Nachtrag vom 11.04.2024:
Die Zahl der Sammelklagen gegen Change Healthcare und UnitedHealth Group nach dem Cyberangriff im Februar steigt weiter. Inzwischen wurden mindestens 24 Klagen eingereicht, in denen Schadenersatz für die durch den Angriff verursachten Verzögerungen und Ausfälle bei der Behandlung von Patienten gefordert wird.
Besonders betroffen scheinen Gesundheitsdienstleister zu sein, die elektronische Patientenakten verwenden, die Daten von Change Healthcare benötigen.
Nachtrag vom 23.04.2024:
Laut neuen Informationen des Wall Street Journals drangen die Hacker bereits neun Tage vor dem tatsächlichen Angriff in die Systeme von Change Healthcare ein. UnitedHealth selbst hat zugegeben, dass eine signifikante Anzahl von Personen von dem Angriff betroffen und ihre personenbezogenen sowie gesundheitlichen Daten kompromittiert wurden. Zudem hat das Unternehmen bestätigt, das bereits bekannte Lösegeld wirklich gezahlt zu haben.
Nachtrag vom 06.05.2024:
Laut einer Aussage des Geschäftsführers von UnitedHealth nutzten die Hacker gestohlene Login-Daten, um sich Zugang zu den Systemen von Change Healthcare zu verschaffen. Die angegriffenen Systeme waren demnach nicht mittels MFA geschützt.
Nachtrag vom 21.06.2024:
Fast genau vier Monate nach dem Bekanntwerden des Angriffs beginnt Change Healthcare nun damit, betroffene Krankenhäuser und Versicherer, aber auch andere kommerzielle Kunden darüber zu informieren, dass ihre Daten kompromittiert worden sind. Privatkunden und Patienten sollen ab Ende Juli benachrichtigt werden.
Nachtrag vom 11.07.2024:
Zwar sind die Untersuchungen der kompromittierten Daten noch immer nicht abgeschlossen. Change Healthcare gab jedoch eine Meldung heraus, aus der hervorgeht, welche Informationen von Privatpersonen ausgelesen wurden.
Potenziell betroffen sind personenbezogene Daten wie Sozialversicherungsnummern und andere Identifikationsdokumente wie Reisepässe. Darüber hinaus wurden Gesundheitsinformationen unter anderem zu Diagnosen, Medikamenten, Arztpraxen und Textergebnissen extrahiert, aber auch Krankenversicherungsdetails. Zusätzlich wurden Finanzdaten ausgelesen, die auch Kontonummern und Informationen zu getätigten Zahlungen enthalten können.
Update vom 17.10.2024:
Aktuellen Rechnungen zufolge kostete der Ransomware-Angriff das Unternehmen 2,457 Mrd. USD.
Nachtrag vom 24.10.2024:
Change Healthcare hat den zuständigen Behörden gemeldet, dass Daten von mindestens 100 Mio. Menschen kompromittiert wurden. Dies entspricht ca. einem Drittel der Bevölkerung der USA.
Nachtrag vom 19.11.2024:
Change Healthcare meldet, dass seine Clearinghouse-Dienste wieder voll funktionsfähig sind. Auch die elektronischen MedRx-Apothekenansprüche, das Payer Print Communication Multi-Channel Distribution System (MCDS) und der Clinical Exchange laufen wieder. Alle weiteren Dienste sind ebenfalls in Betrieb.
Update vom 17.12.2024:
Als erster Bundesstaat hat Nebraska nun angekündigt, Change Healthcare wegen des Vorfalls zu verklagen. Grund für die Klage seien vor allem die laxe Art, auf die das Unternehmen mit verarbeiteten Daten umgeht sowie die Tatsache, dass Betroffene nur sehr langsam informiert werden.
Nachtrag vom 16.01.2025:
Am 14. Januar 2025 meldete Change Healthcare, die Untersuchungen der betroffenen Informationen so gut wie abgeschlossen zu haben. Man rechnet nicht mehr mit der Entdeckung neuer Betroffener. Es wurden jedoch noch nicht alle Personen, deren Daten kompromittiert wurden, informiert; dieser Prozess dauert noch an.
Nachtrag vom 27.01.2025:
Das Unternehmen bestätigte eine Betroffenenzahl von ca. 190 Mio. Menschen. Dies entspricht mehr als der Hälfte aller US-Bürger.
Nachtrag vom 07.08.2025:
Eine aktualisierte Betroffenenzahl spricht nun von 192,7 Mio. Betroffenen.
Nachtrag vom 08.04.2026:
Auch die Generalstaatsanwaltschaft von Iowa hat das Unternehmen nun verklagt.
22.02.2024: Change Healthcare Statusseite
21.02.2024: Huron Daily Tribune
22.02.2024: Reuters
21.02.2024: FORM 8-K Meldung von UnitedHealth Group
25.02.2024: Meldung des Naval Hospital Camp Pendleton
23.02.2024: Dark Reading
26.02.2024: Bleeping Computer
28.02.2024: Bleeping Computer
04.03.2024: The Register
05.03.2024: Bleeping computer
05.03.2024: Mitteilung Department of Health and Human Services
07.03.2024: Update UnitedHealth Group
18.03.2024: CNBC
28.03.2024: The Cyber Express
09.04.2024: Heise Online
22.04.2024: Wall Street Journal
22.04.2024: Mitteilung UnitedHealth
11.04.2024: StarTribune
30.04.2024: TechCrunch
01.05.2024: Zeugenaussage Andrew Witty
20.06.2024: Security Week
11.07.2024: Mitteilung Change Healthcare (Abrufdatum)
11.07.2024: The Cyber Express
17.10.2024: The HIPAA Journal
24.10.2024: The HIPAA Journal
19.11.2024: The Hipaa Journal
16.12.2024: Nebraska Examiner
16.01.2025: The HIPAA Journal
24.01.2025: TechCrunch
06.08.2025: The HIPAA Journal
06.04.2026: Becker's Health IT
