UnitedHealth reveló que el ciberataque a Change Healthcare comprometió información de 190 millones de personas

El ciberataque contra Change Healthcare, subsidiaria de UnitedHealth Group, ha sido catalogado como el mayor robo de datos médicos en la historia de Estados Unidos. Según informó TechCrunch, el ataque, ocurrido en febrero de 2024, expuso la información personal y médica de aproximadamente 190 millones de personas, una cifra significativamente mayor a la estimación inicial de 100 millones.

La empresa confirmó la cifra tras un análisis detallado de la magnitud del incidente. “Change Healthcare ha determinado que el número estimado de individuos afectados por el ciberataque es de aproximadamente 190 millones”, declaró Tyler Mason, portavoz de la compañía, en un comunicado enviado a TechCrunch. Mason también aseguró que la mayoría de las personas afectadas ya han sido notificadas, aunque la cifra final será presentada oficialmente ante la Oficina de Derechos Civiles (OCR, por sus siglas en inglés) en una fecha posterior.

El ataque no solo comprometió datos sensibles de pacientes, sino que también provocó interrupciones en el sistema de salud estadounidense durante meses. Servicios clave, como el procesamiento de reclamaciones y otros sistemas administrativos, sufrieron fallos graves que afectaron la atención médica en todo el país.

El ataque fue atribuido al grupo de ransomware ALPHV, también conocido como BlackCat, que logró infiltrarse en los sistemas de Change Healthcare. De acuerdo con TechCrunch, los datos comprometidos incluyen nombres, direcciones, fechas de nacimiento, números de teléfono, correos electrónicos y documentos de identidad gubernamentales, como números de Seguro Social, licencias de conducir y pasaportes.

Además, se filtraron registros médicos detallados que abarcan diagnósticos, medicamentos, resultados de pruebas, imágenes, planes de tratamiento y datos de seguros de salud. La información financiera y bancaria vinculada a reclamaciones de pacientes también fue vulnerada, lo que podría facilitar fraudes financieros o robos de identidad a gran escala.

Parte de esta información fue publicada en línea por los atacantes, quienes exigieron un rescate para evitar una mayor divulgación. Según TechCrunch, Change Healthcare habría pagado al menos dos rescates, aunque no se han revelado los montos exactos.

Este tipo de ataques no solo representa una amenaza para los pacientes, sino que también afecta gravemente a las aseguradoras y proveedores de servicios médicos, que dependen de estos datos para gestionar tratamientos y reembolsos. El robo de información médica puede dar lugar a usos fraudulentos, como reclamaciones falsas a seguros o suplantación de identidad para recibir tratamientos médicos.

La infiltración en los sistemas de Change Healthcare se debió a fallas de seguridad críticas, según explicó Andrew Witty, CEO de UnitedHealth Group, en una comparecencia ante legisladores el año pasado. Los atacantes lograron acceder a la red utilizando credenciales robadas que no estaban protegidas con autenticación multifactor.

La ausencia de esta medida de seguridad fundamental permitió a los ciberdelincuentes penetrar en una de las bases de datos médicas y de seguros más grandes del país. Este descuido resalta la falta de protocolos robustos de ciberseguridad en el sector de la salud, a pesar de la sensibilidad de los datos que maneja.

Change Healthcare es una de las empresas más grandes de tecnología de la salud en Estados Unidos y procesa una cantidad significativa de reclamaciones médicas y transacciones financieras relacionadas con seguros de salud. La magnitud del ataque pone de relieve la vulnerabilidad del sector sanitario ante ciberataques cada vez más sofisticados.

El caso también refleja un problema estructural en la seguridad informática del sector de la salud, que en los últimos años ha sido objetivo recurrente de grupos de ransomware. La falta de inversión en infraestructura de seguridad y la dependencia de sistemas obsoletos han facilitado ataques de esta magnitud.

UnitedHealth Group ha asegurado que, hasta el momento, no hay evidencia de que la información robada haya sido utilizada de manera fraudulenta. “No hemos visto que las bases de datos de registros médicos electrónicos aparezcan en los datos analizados”, afirmó su portavoz en declaraciones a TechCrunch.

A pesar de esta afirmación, expertos en ciberseguridad advierten que los datos robados podrían ser vendidos en la dark web o utilizados en ataques futuros. Información médica y financiera de esta escala es extremadamente valiosa y podría emplearse en esquemas de fraude, robo de identidad y chantaje.

En respuesta al ataque, Change Healthcare ha implementado nuevas medidas de seguridad, aunque no ha detallado las acciones específicas. La empresa también continúa notificando a los afectados y colaborando con las autoridades para mitigar los daños.

El grupo ALPHV, responsable del ataque, es conocido por su sofisticación y por utilizar métodos avanzados para vulnerar sistemas de alta seguridad. Según informes previos, este grupo ha estado vinculado a múltiples ataques contra instituciones gubernamentales, empresas financieras y organizaciones de salud.

El caso de Change Healthcare evidencia cómo el ransomware se ha convertido en una de las principales amenazas cibernéticas para sectores críticos. La digitalización de la información médica, aunque ofrece ventajas en eficiencia y acceso a datos, también ha aumentado los riesgos de seguridad, haciendo que hospitales y aseguradoras sean objetivos frecuentes de ataques informáticos.

A medida que avanzan las investigaciones, el ciberataque contra Change Healthcare se perfila como una advertencia sobre los riesgos de la digitalización en la salud y la urgencia de implementar sistemas más seguros para proteger la información de millones de pacientes.