Il Gruppo UnitedHealth ha pubblicato giovedì un avviso pubblico sull'attacco ransomware di febbraio alla sua unità Change Healthcare, come parte dei suoi requisiti per notificare a circa un terzo del Paese i cui dati privati potrebbero essere stati esposti nell'attacco.

UnitedHealth ha detto che prevede di iniziare a spedire le lettere alle persone potenzialmente colpite alla fine di luglio, ma che potrebbe non avere gli indirizzi di tutti. L'azienda ha detto che le persone possono iscriversi al monitoraggio gratuito del credito per due anni.

PERCHÉ È IMPORTANTE

Le informazioni dei pazienti sono protette dall'Health Insurance Portability and Accountability Act, o HIPAA. La normativa HIPAA richiede alle aziende di notificare ai pazienti l'esposizione dei dati.

Si ritiene che le informazioni rese vulnerabili dall'attacco di UnitedHealth includano gli ID dei membri dell'assicurazione sanitaria, le diagnosi dei pazienti, le informazioni sui trattamenti e i numeri di previdenza sociale, oltre ai codici di fatturazione utilizzati dai fornitori.

In un annuncio di maggio, il Dipartimento della Salute e dei Servizi Umani degli Stati Uniti ha dichiarato che i fornitori di servizi sanitari possono chiedere a UnitedHealth di notificare per loro conto le persone colpite dall'hack. A seguito dell'hack, alcuni fornitori hanno sollecitato HHS a rendere UnitedHealth l'unico responsabile dell'invio delle notifiche di violazione.

QUOTA CHIAVE

Dopo aver esaminato il 90% dei file violati, l'assicuratore ha dichiarato di "non aver trovato alcuna prova che materiali come le cartelle cliniche dei medici o le storie mediche complete siano state esfiltrate dai suoi sistemi".

CONTESTO

Change Healthcare elabora circa la metà di tutte le richieste mediche degli Stati Uniti.

L'hackeraggio del 21 febbraio dell'unità tecnologica del più grande assicuratore sanitario statunitense è stato effettuato dalla banda ransomware russa BlackCat, ha dichiarato l'amministratore delegato di UnitedHealth Andrew Witty nella testimonianza di maggio alla commissione finanziaria del Senato. In cambio dei dati dei pazienti, UnitedHealth ha pagato al gruppo 22 milioni di dollari in Bitcoin, ha detto Witty.