El lunes, extrañamente, el listado de esos datos en el sitio de la dark web de RansomHub había sido retirado. Sin embargo, el post de Change Healthcare en su página advierte de que un grupo de hackers anónimo publicó en la web oscura 22 capturas de pantalla de la documentación, y que incluyen “información médica protegida (PHI, por sus siglas en inglés) o información personal identificable (PII, por sus siglas en inglés)”, aunque señala que no ha visto ningún indicio de que entre los datos robados se encuentren registros como reportes o historiales médicos completos de ningún paciente.
Para Change Healthcare y las asediadas clínicas, hospitales y pacientes que dependen de ella, la confirmación del pago de la extorsión a los hackers añade un amargo final a una historia ya de por sí distópica. El secuestro digital de Change Healthcare, filial de UnitedHealth Group, provocado por AlphV, paralizó la aprobación de recetas y procedimientos médicos por parte de las aseguradoras para cientos de consultorios y hospitales de todo el país, convirtiéndolo, según algunas estimaciones, en la perturbación médica por ransomware más amplia de la historia. Una encuesta realizada entre los miembros de la Asociación Médica Estadounidense entre el 26 de marzo y el 3 de abril reveló que cuatro de cada cinco médicos habían perdido ingresos como consecuencia de la crisis. Muchos manifestaron que estaban recurriendo a sus propias cuentas personales para cubrir los gastos. Change Healthcare, por su parte, afirma haber perdido 872 millones de dólares por el incidente, y prevé que esa cifra supere con creces los mil millones a largo plazo.
El gobierno de Estados Unidos depende de servicios de Microsoft que han presentado graves fallos de seguridad. El gigante tecnológico no parece estar muy apurado…
El pago de un rescate por un ciberataque de ransomware, sin garantías
La confirmación por parte de Change Healthcare del pago parece demostrar que gran parte de esas catastróficas consecuencias para el sistema de salud estadounidense se produjeron después de que ya hubiera desembolsado a los hackers una suma exorbitante: un pago a cambio de una clave de descifrado para los sistemas que los ciberdelincuentes habían encriptado y la promesa de no filtrar los datos robados. Como suele ocurrir en los ataques de ransomware, el bloqueo por parte de AlphV parece haber sido tan generalizado que el proceso de recuperación de Change Healthcare se ha prolongado mucho después de que obtuviera la clave de descifrado diseñada para liberar sus sistemas.
En lo que respecta a los pagos por ransomware, 22 millones de dólares no es lo máximo que ha entregado una víctima. Pero está cerca, resalta Brett Callow, un investigador de seguridad especializado en esta clase de ataques que habló con WIRED sobre el supuesto pago en marzo. Solo algunos casos excepcionales, como los 40 millones de dólares pagados a los hackers por CNA Financial en 2021, superan esa cantidad. “No carece de precedentes, pero desde luego es muy inusual”, mencionó Callow sobre la suma desembolsada por Change Healthcare.
Esa inyección de fondos de 22 millones de dólares al ecosistema del ransomware alimenta aún más un círculo vicioso que ha alcanzado proporciones epidémicas. La firma de rastreo de criptomonedas Chainalysis descubrió que, en 2023, las víctimas pagaron a los hackers 1,100 millones de dólares, un nuevo récord. Quizá el rescate de Change Healthcare represente solo una pequeña porción en esa canasta, pero premia a AlphV por sus ataques altamente dañinos y sugiere a otros grupos de ransomware que las compañías de atención médica son objetivos particularmente rentables, dado que son muy sensibles tanto al alto costo económico de esos ciberataques como a los riesgos que suponen para la salud de los pacientes.