A partir de segunda-feira, estranhamente, a lista daqueles dados no site dark-web da RansomHub foi retirada do ar. A postagem da Change Healthcare em seu site, no entanto, alerta que 22 capturas de tela de seus dados foram postadas na dark web por um grupo de hackers não identificado, e que incluíam “informações de saúde protegidas (PHI) ou informações pessoalmente identificáveis (PII)”, embora tenha dito que não viu nenhum sinal de que registros médicos como gráficos de médicos ou históricos médicos completos de qualquer paciente estivessem entre os dados roubados.
Para a Change Healthcare e os praticantes médicos, hospitais e pacientes que dependem dela, a confirmação do pagamento de extorsão aos hackers adiciona um final amargo a uma história já distópica. A paralisia digital da Change Healthcare pela AlphV atrapalhou a aprovação de seguros para receitas e procedimentos médicos de centenas de práticas médicas e hospitais em todo o país, tornando-se, por algumas medidas, a interrupção de ransomware médico mais difundida já realizada. Uma pesquisa com membros da Associação Médica Americana realizada entre 26 de março e 3 de abril constatou que quatro em cada cinco clínicos haviam perdido receita como resultado da crise. Muitos disseram que estavam utilizando suas finanças pessoais para cobrir os gastos da prática. Enquanto isso, a Change Healthcare afirma que perdeu US $872 milhões com o incidente e projeta que esse valor aumentará para bem mais de um bilhão no longo prazo.
A confirmação do pagamento de resgate da Change Healthcare aparentemente mostra que grande parte desse desastre catastrófico para o sistema de saúde dos EUA se desdobrou depois que a empresa já havia pago uma quantia exorbitante aos hackers – um pagamento em troca de uma chave de descriptografia para os sistemas que os hackers haviam criptografado e a promessa de não vazar os dados roubados da empresa. Como frequentemente ocorre em ataques de ransomware, a interrupção dos sistemas pela AlphV parece ter sido tão difundida que o processo de recuperação da Change Healthcare se estendeu muito tempo depois de obter a chave de descriptografia projetada para desbloquear seus sistemas.
Em termos de pagamentos de resgate de ransomware, US $22 milhões não é o máximo que uma vítima já pagou. Mas está perto, diz Brett Callow, um pesquisador de segurança focado em ransomware que falou com a WIRED sobre o pagamento suspeito em março. Apenas alguns pagamentos raros, como os US $40 milhões pagos a hackers pela CNA Financial em 2021, superam esse número. “Não é sem precedentes, mas certamente é muito incomum,” Callow disse sobre o valor de US $22 milhões.
Essa injeção de US $22 milhões de fundos no ecossistema de ransomware alimenta ainda mais um ciclo vicioso que atingiu proporções epidêmicas. A empresa de rastreamento de criptomoedas Chainalysis descobriu que em 2023, as vítimas de ransomware pagaram aos hackers que as visavam um total de US $1,1 bilhão, um novo recorde. O pagamento da Change Healthcare pode representar apenas uma pequena parcela desse total, mas ele recompensa a AlphV por seus ataques altamente danosos e pode sugerir a outros grupos de ransomware que as empresas de saúde são alvos especialmente rentáveis, dado que essas empresas são especialmente sensíveis tanto ao alto custo financeiro desses ciberataques quanto aos riscos que representam para a saúde dos pacientes.
A complicação da situação da Change Healthcare é uma aparente traição no submundo do ransomware: a AlphV, aparentemente, forjou sua própria derrubada por forças da lei após receber o pagamento da Change Healthcare na tentativa de evitar compartilhá-lo com seus chamados afiliados, os hackers que se associam ao grupo para penetrar nas vítimas em seu nome. O segundo grupo de ransomware ameaçando Change Healthcare, RansomHub, agora afirma à WIRED que obteve os dados roubados desses afiliados, que ainda desejam ser pagos por seu trabalho.
Isso criou uma situação em que o pagamento da Change Healthcare dá pouca garantia de que seus dados comprometidos não serão ainda explorados por hackers insatisfeitos. “Esses afiliados trabalham para vários grupos. Eles estão preocupados em receber seu pagamento, e não há confiança entre ladrões,” disse DiMaggio, da Analyst1, à WIRED em março. “Se alguém engana outra pessoa, você não sabe o que eles vão fazer com os dados.”
Tudo isso significa que a Change Healthcare ainda tem pouca garantia de que evitou um cenário ainda pior do que enfrentou até agora: pagar o que pode ser um dos maiores resgates da história e ainda ver seus dados vazados na dark web. “Se for vazado depois que pagaram US $22 milhões, é praticamente como se estivessem queimando esse dinheiro,” alertou DiMaggio em março. “Eles teriam queimado esse dinheiro à toa.”
Atualizado às 10h25, horário oriental, 1º de maio de 2024: O CEO da UnitedHealth Group, Andrew Witty, confirmou a um comitê do Senado dos EUA que a empresa pagou US $22 milhões em resgate.
