US-Zahlungsdienstleister: Krankendaten von 100 Millionen Menschen gestohlen​

Nach einem Ransomware-Angriff im Februar Anfang des Jahres bestätigt die UnitedHealth Group einen Datenabfluss, von dem mehr als 100 Millionen Menschen betroffen sind. Anfang Mai gab UnitedHealth bereits zu, dass ein Drittel der US-Bevölkerung von dem Vorfall betroffen sein könnte. Jetzt hat das "U.S. Department of Health and Human Services Office for Civil Rights" in seinem Data-Breach-Portal die Gesamtzahl der betroffenen Personen zu ebendiesem Drittel aktualisiert. Das entspricht 100 Millionen betroffenen US-Amerikanern.

Zu den gestohlenen Daten gehören Versicherungsinformationen, medizinische Dokumente, Zahlungsdaten sowie Sozialversicherungsnummern. Die Angreifer nutzten eine Sicherheitslücke bei der UnitedHealth-Tochter Change Healthcare, dem größten Bezahldienstleister im US-Gesundheitswesen.

Infolge eines Angriffs hatte die Ransomware-Gang AlphV, auch bekannt als BlackCat, laut Bleeping Computer rund 6 Terabyte an Daten erbeutet und Lösegeld gefordert – gezahlt wurde mehrfach. Zudem hatte der Vorfall erhebliche Auswirkungen auf die Patientenversorgung, Ärzte und Apotheker, aber auch auf US-Militär-Krankenhäuser weltweit. Patienten mussten teils in Vorleistung gehen und hohe Kosten für Medikamente selbst tragen. Seit dem Vorfall im Februar war es vielen Ärzten und Apotheken nicht möglich, die Systeme von UnitedHealth zu nutzen.

Change Healthcare bot den betroffenen Personen nach Bekanntwerden des Angriffs kostenlosen Identitätsschutz und Kreditüberwachung für zwei Jahre an. Zudem kooperiert das Unternehmen mit Cybersicherheitsexperten und Strafverfolgungsbehörden, um den Vorfall aufzuklären.

Nach Übernahme ungesicherter Server

Der Zugriff gelang den Angreifern über einen Server, der nicht über Multi-Faktor-Authentifizierung abgesichert war. So seien die Angreifer in der Lage gewesen, auf die Anwendung Citrix für den Remote-Zugang für die Systeme von Change Healthcare zuzugreifen, wie UnitedHealth-Chef Andrew Witty in einer Anhörung im US-Senat Anfang Mai angab.

Warum die Angreifer eine Woche lang unbemerkt in die Systeme eindringen konnten, vermochte er nicht zu sagen – die genauen Umstände würden noch untersucht. Nach der Übernahme von Change Healthcare durch UnitedHealth im Jahr 2022 habe man die Systeme erst auf Stand bringen müssen.

(mack)