Мир за неделю: опасный прецедент для всей отрасли

Продолжается история атаки вымогателей на поставщика медицинских сервисов компанию Change Healthcare. Атака стала одной из самых разрушительных за последние годы, она нарушила работу аптек по всей территории США, в том числе в больницах, и привела к перебоям в доставке отпускаемых по рецепту лекарств на 10 и более дней. 

Департамент здравоохранения США выступил с заявлением

Министерство здравоохранения и социальных служб США (HHS) выпустило заявление в связи с атакой на компанию Change Healthcare – подразделение UnitedHealth Group (UHG). Приоритетом HHS является работа по координации усилий во избежание сбоев в оказании медицинской помощи во всей системе здравоохранения, говорится в заявлении ведомства.

HHS находится в постоянном контакте с руководством UHG, федеральными ведомствами и иными заинтересованными сторонами, включая ФБР и CISA, чтобы лучше понять природу атаки и обеспечить эффективность реагирования на нее. 

В целях немедленного восстановления систем взаиморасчетов, нарушенных из-за кибератаки на структуры UHG, HHS объявило о шагах, которые Центры медуслуг Medicare и Medicaid (CMS) должны принять, чтобы помочь поставщикам услуг продолжать обслуживать пациентов. 

В частности, поставщикам услуг Medicar предложено сменить клиринговую палату, чтобы ускорить процесс восстановления системы взаиморасчетов между плательщиками. Ряду участников системы расчетов рекомендовано отменить или ослабить требования к регистрации и порядку подачи заявок, следует предложить авансовое финансирование поставщикам услуг, наиболее пострадавшим от этой кибератаки, в пределах, разрешенных штатом. 

Если у поставщиков Medicare возникают проблемы с подачей претензий или других необходимых уведомлений или других документов, им следует связаться со своим административными подрядчиками Medicare (MAC) для получения подробной информации об исключениях, отказах или продлениях или связаться с CMS по поводу программ отчетности о качестве. В случае необходимости CMS готовы принять претензии от поставщиков на бумажных носителях, если электронное выставление счетов и претензий невозможно.  

При этом CMS не поддержала возврат к системе ускоренных платежей, подобных тем, которые были использованы во время пандемии COVID-19, поскольку биллинговые системы больниц находятся в автономном режиме. По мнению регуляторов, больницы могут столкнуться со значительными проблемами с финансовыми потоками из-за необычных обстоятельств, влияющих на их работу. Поэтому учреждения могут подать запросы на ускоренную оплату в MAC для индивидуального рассмотрения. 

Инцидент является напоминанием о взаимосвязанности экосистемы здравоохранения и о необходимости срочного повышения устойчивости кибербезопасности во всей структуре, говорится в заявлении HHS. Министерство напоминает, что в декабре 2023 г. оно опубликовало Стратегию кибербезопасности в сфере здравоохранения, в которой особое внимание уделяется повышению устойчивости больниц, пациентов и сообществ кибератакам. HHS также призывает всех работающих в отрасли, в том числе поставщиков технологий, срочно удвоить усилия по обеспечению кибербезопасности. 

Ушли, не расплатившись?

Новый виток истории с атакой на Change Healthcare – разборки среди хакеров о том, кто из партнеров хакеров группировки BlackCat/AlphV (или она сама) получил транзакцию в размере 22 млн долларов, что очень похоже на крупный выкуп. 

1 марта биткоин-адрес, связанный с AlphV, за одну транзакцию получил 350 биткоинов (около 22 млн долларов по курсу обмена на тот момент). Два дня спустя некто, назвавший себя представителем партнеров AlphV, опубликовал на форуме RAMP сообщение, что BlackCat обманом лишили их доли в выкупе Change Healthcare. В качестве доказательства была приведена та самая транзакция на сумму 22 млн долларов, пишет WIRED. 

По словам исследователей из компаний кибербезопасности Recorded Future и TRM Labs, скорее всего, Change Healthcare заплатила выкуп AlphV. Представители самой компании, которая входит в UnitedHealth Group, отказались отвечать на вопрос о выкупе AlphV, сообщив, что сосредоточены на расследовании. 

По мнению опрошенных экспертов, если Change Healthcare действительно заплатила выкуп в размере 22 млн долларов, то это стало не только крупным выкупом для AlphV, но и опасным прецедентом для всей индустрии здравоохранения. Каждый подобный платеж финансирует будущие атаки хакеров группы и предлагает другим вымогателям попробовать тот же сценарий. Это подчеркивает прибыльность атак на сектор здравоохранения. Вымогатели будут атаковать его снова и снова. 

В жалобе партнера AlphV на то, что группировка якобы не поделилась прибылью, также говорится о том, что при проникновении в сеть Change Healthcare хакеры получили доступ к данным множества других медицинских компаний, сотрудничающих с жертвой кибератаки. Это создает дополнительный риск атак на сектор, поскольку партнерская группировка может потребовать дополнительную оплату или продать утечку данных самостоятельно. 

Группировка AlphV вернулась к жизни после операции ФБР, которая захватила сайты хакеров и выпустила ключи дешифрования, которые предотвратили атаки на сотни жертв. Спустя два месяца BlackCat/AlphV осуществила кибератаку, которая парализовала Change Healthcare. По состоянию на конец февраля AlphV ждала выкуп от 28 компаний, перечень которых опубликован на сайте в даркнете, исключая Change Healthcare. В начале марта сайт был выключен, 5 марта на нем появилось сообщение от правоохранительных органов. Однако эксперты не исключают вероятного очередного ребрендинга группировки как по причине работы спецслужб, так и с целью ухода от обманутых партнеров.