Le fournisseur d’assurance maladie UnitedHealth a payé une rançon de plusieurs millions de dollars aux pirates informatiques qui se sont introduits dans l’une de ses filiales, perturbant ainsi les prestataires de soins de santé à travers le pays pendant des mois, a confirmé mercredi son PDG Andrew Witty.
Lors d’une audition devant le Comité sénatorial des finances, Witty a déclaré que la décision de payer la rançon de 22 millions de dollars lui appartenait entièrement. “C’était l’une des décisions les plus difficiles que j’ai jamais eu à prendre”, a-t-il déclaré. UnitedHealth a admis le mois dernier avoir payé une rançon aux pirates informatiques qui ont violé le système Change Healthcare – qui appartient à UnitedHealth – mais n’a pas divulgué le montant. En mars, la société a attribué la violation à BlackCat, la même entité responsable du piratage du casino MGM à Las Vegas. Ce même mois, Filaire a rapporté que BlackCat, qui s’appelle également ALPHV, a reçu une transaction de 22 millions de dollars sur Bitcoin le 1er mars.
BlackCat avait précédemment affirmé avoir récupéré plus de six téraoctets de données dans le cadre du piratage effectué en février de cette année. Le gang des ransomwares a déclaré que les données comprenaient des dossiers médicaux « sensibles », selon CBS News.
“Les criminels ont utilisé des informations d’identification compromises pour accéder à distance au portail Change Healthcare Citrix, une application utilisée pour permettre l’accès à distance aux ordinateurs de bureau”, a déclaré Witty lors de son témoignage, ajoutant que le portail “n’avait pas d’authentification multifacteur”.
“Ce piratage aurait pu être stoppé grâce à la cybersécurité 101”, a déclaré le sénateur Ron Wyden (D-OR), président du comité. Après que Witty ait confirmé que United exigerait désormais une authentification multifactorielle à l’échelle de l’entreprise, Wyden a déclaré qu’il “n’aurait pas dû prendre la pire cyberattaque jamais vue dans le secteur de la santé pour qu’un accord fasse ce strict minimum”.
Les effets du piratage ont été considérables. Après la découverte de la faille, United a fermé le système Change Healthcare pendant une semaine, empêchant ainsi les hôpitaux, les cliniques et les pharmacies de tout le pays d’être payés. Au cours de l’audience, Witty a déclaré que le système était désormais « globalement revenu à la normale ». Mais certains sénateurs ont déclaré à Witty que les hôpitaux et autres prestataires de soins de santé attendent toujours leurs paiements. Wyden (D-OR) a déclaré à Witty que certains fournisseurs qui ont déposé des réclamations en février se sont fait dire qu’ils devraient attendre juin pour être payés.
UnitedHealth gère plus d’un tiers de tous les dossiers de patients aux États-Unis et supervise 1 médecin sur 10 à travers le pays, selon une lettre que l’American Hospital Association a envoyée au ministère de la Santé et des Services sociaux en mars. Dans son discours d’ouverture, Wyden a qualifié United de « Léviathan du système de santé » et a décrit le piratage comme un « terrible avertissement sur les conséquences des méga-entreprises trop grandes pour faire faillite ».