ゆめさくセキュリティ

2024年2月22日、医療 (診療報酬の請求と支払いの処理)

Change Healthcare のランサムウェア被害

入口

2024年2月12日、盗まれた認証情報で Citrix の遠隔接続ポータルに入られた。親会社 CEO は、そのポータルに多要素認証がなかったと議会で証言した

決め手の失敗

遠隔接続の入口が多要素認証なしで、横展開とデータの持ち出しを許し、侵入から9日後の2月21日にランサムウェアを実行された

被害

同社は HHS OCR に、約1億9,270万人が影響を受けたと届け出た (2025年7月31日)。親会社は身代金の支払いを認め、CEO が議会で2,200万ドルの支払いを認めたと報じられた

防げた対策

  • 遠隔接続への多要素認証
  • 横展開の検知
  • 業界の単一障害点を前提にした事業継続計画
  • 身代金を払っても削除は保証されない前提の対応計画

時系列

  1. 2024年2月12日盗まれた認証情報で多要素認証のない Citrix ポータルに侵入された
  2. 2024年2月21日ランサムウェアが実行され、システムを隔離した
  3. 2024年2月22日UnitedHealth Group が 8-K で公表した。当初は国家と関係が疑われる攻撃者としていた
  4. 2024年3月4日ALPHV に関係する暗号資産アドレスが3月1日に約2,200万ドル相当を受け取ったと、ブロックチェーンの分析をもとに報じられた
  5. 2024年4月22日親会社が、米国の人口の相当部分に及びうる個人情報や医療情報を含むファイルを確認したと発表した
  6. 2024年5月1日親会社 CEO が上院財政委員会で証言し、身代金支払いを自ら決めたと述べた
  7. 2024年7月19日同社が HHS OCR に侵害を届け出た (人数は当初、届出上の最小値の500人)
  8. 2024年10月22日約1億人に通知を送ったと HHS OCR に届け出た
  9. 2025年1月24日影響は約1億9,000万人と HHS OCR に届け出た
  10. 2025年7月31日影響は約1億9,270万人と HHS OCR に届け出た

攻撃した側について

被害企業 (親会社 CEO の議会証言) は ALPHV または BlackCat を名乗る犯罪者による攻撃と述べた。ALPHV/BlackCat は本データセットの攻撃者一覧に含めていない。身代金を受け取った後に ALPHV が協力者 (アフィリエイト) へ分け前を払わず、その協力者がデータを持ち続けている恐れがあると報じられたが、被害企業はこれを確認していない

学べるレッスン

出典

2026年10月24日に開いて確かめました。