ゆめさくセキュリティ

2024年2月21日に発覚、海外、医療 (診療報酬の請求と支払いの処理)

Change Healthcare のランサムウェア被害

多要素認証のない遠隔ポータルに侵入され、全米の医療請求処理が止まった

何があったか

2024年2月12日、何らかの方法で盗まれた認証情報を使って、犯罪者がChange HealthcareのCitrixの遠隔接続ポータルに侵入した。このポータルには多要素認証が掛けられていなかった。侵入したあと攻撃者はシステムの中を横に移動し、2月17日から20日にかけて医療保険の加入者番号、診断名や治療のコード、氏名や社会保障番号などを含むデータを持ち出した。

2月21日の朝にランサムウェアが実行されてシステムが暗号化され、親会社のUnitedHealth Groupはこの日に攻撃を把握した。会社は感染の広がりを防ぐため直ちにデータセンターとの接続を切り離し、数時間のうちにFBIへ連絡した。Change Healthcareは処方薬の受け取りや医療機関への保険金の請求と支払いの処理を担っており、システムの停止で全米の薬局や病院、診療所で決済や保険金請求ができなくなった。

CEOのアンドリュー・ウィッティは、身代金を支払う決断は自分がしたと上院財政委員会で証言し、2200万ドル相当のビットコインを支払ったことを認めた。会社は汚染された環境を使わず新しい技術環境を作り直して主要なシステムを順番に復旧させ、医療機関には無利子の融資などで90億ドルを超える資金支援をした。影響を受けた人数の確認には数か月を要し、2025年2月の年次報告の時点で約1億9000万人に上ると会社は説明した。

入口
2024年2月12日、盗まれた認証情報を使って、多要素認証のないChange HealthcareのCitrix遠隔接続ポータルに侵入された
決め手の失敗
買収後の近代化が済んでいなかったサーバーに多要素認証が掛けられておらず、侵入から9日間、横への移動とデータの持ち出しに気づかなかった
被害
全米の薬局や医療機関で保険金の請求と支払い、処方薬の決済が止まった。会社は2025年2月の年次報告の時点で約1億9000万人に影響が及んだと説明し、CEOは2200万ドル相当の身代金を支払ったことを議会で認めた

攻撃の流れ

  1. 入口盗まれた認証情報を使って、多要素認証が掛けられていなかったChange HealthcareのCitrixの遠隔接続ポータル(遠隔から画面にアクセスするための仕組み)に2月12日に侵入された
  2. 広がり侵入したあと攻撃者はシステムの中を横に移動し、より巧妙な方法で権限を広げながら9日間気づかれずにとどまった
  3. 持ち出し2月17日から20日にかけて、医療保険の加入者番号や診断名、治療のコード、氏名や社会保障番号などを含むデータが持ち出された
  4. 暗号化2月21日の朝にランサムウェアが実行されてシステムが暗号化され、会社はこの日に攻撃を把握した
  5. 影響処方薬の受け取りや医療機関への保険金の請求と支払いの処理が止まり、全米の薬局や病院、診療所で決済や保険金請求ができなくなった

数字で見る

  • 2200万ドル相当のビットコイン 身代金の支払額[2]
  • 22億ドル 2024年通期の直接対応コスト[7] 無利子融資の提供費用、医療費の増加、ネットワークの復旧、通知の費用を含む
  • 90億ドル超 医療機関への無利子融資等の提供額[7] 2024年12月31日まで
  • 約1億9000万人 影響を受けた人数[7] 2025年2月27日提出の年次報告書(10-K)の時点の推計
  • 9日間 侵入からランサムウェア実行までの日数[2] 2月12日から2月21日まで。資料の日付から数えた

気づいたきっかけ

2024年2月21日の朝、ランサムウェアが実行されてシステムが暗号化され、UnitedHealth Groupはこの日に攻撃を把握した。それ以前の2月12日から20日までの侵入とデータの持ち出しには気づいていなかった

対応と復旧

会社は感染の拡大を防ぐため直ちにデータセンターとの接続を切り離し、疑わしいシステムを隔離した。ランサムウェアの実行から数時間のうちにFBIへ連絡し、外部の専門家を入れて調査した。3月7日までに薬局の決済の99%を復旧させ、3月15日には電子決済の基盤を復旧し、3月18日時点で20億ドルを超える資金を医療機関に前払いした。4月22日には主要な機能の約80%が復旧したと公表し、同じ日に持ち出されたデータに医療情報や個人情報が含まれることを確認したと発表した。汚染の疑いが残る既存の環境を部分的に直すのではなく、新しい技術環境をゼロから構築する方式を取った

組織が認めた原因と、決めた対策

認めた原因

  • 盗まれた認証情報を使って、多要素認証が掛けられていなかったChange HealthcareのCitrixの遠隔接続ポータルに侵入された
  • Change Healthcareが買収後の近代化の途上にあり、このサーバーには攻撃前に多要素認証が導入されていなかった
  • UHGとChange Healthcareの方針は外部向けのアプリケーションに多要素認証を求めていたが、この古いサーバーには適用されていなかった

公表した再発防止策

  • CEOは公聴会で、ヒアリング時点でUHGの全ての外部向けシステムに多要素認証を有効化したと証言した
  • 6か月以内に全社で多要素認証を必須にし、連邦政府機関に求められる水準のMFA基準を満たすことを上院の公聴会で約束した

自分のサービスで確かめること

  • 外部に公開しているリモートアクセスや仮想デスクトップの入口全てに、例外なく多要素認証が掛かっているか確認する
  • 買収や統合をした子会社のシステムが自社のセキュリティ基準に揃うまでの期限と担当を決めているか確認する
  • 侵入からランサムウェアの実行までの間の横移動を検知できる体制(異常なログインや権限の昇格の監視)があるか確認する
  • 自社のサービスが止まったとき、多くの取引先や利用者が同時に影響を受ける単一障害点になっていないか点検する
  • 身代金を支払っても漏れたデータが消える保証はないという前提で、対応計画と通知の手順を作っているか確認する

関わる攻撃とレッスン

攻撃の種類

学べるレッスン

時系列

  1. 2024年
  2. 2月12日 侵入 盗まれた認証情報を使って、多要素認証のないCitrixの遠隔接続ポータルに侵入された[2]
  3. 2月17日 侵入 2月17日から20日にかけて、医療保険の加入者番号や社会保障番号などを含むデータが持ち出された[2]
  4. 2月21日 発覚 朝にランサムウェアが実行されてシステムが暗号化され、会社はこの日に攻撃を把握してデータセンターとの接続を切り離した[1]
  5. 2月22日 公表 UnitedHealth GroupがSECへのForm 8-Kで攻撃を公表した[1]
  6. 3月18日 対応 電子決済基盤の復旧(3月15日)と薬局決済の99%の復旧(3月7日)を公表し、20億ドルを超える資金を医療機関に前払いしたと発表した[4]
  7. 4月22日 公表 持ち出されたデータに医療情報や個人情報が含まれることを確認したと発表し、主要な機能の約80%が復旧したと公表した[5]
  8. 5月1日 公表 CEOのアンドリュー・ウィッティが上院財政委員会で証言し、2200万ドル相当のビットコインを身代金として支払う決断は自分がしたと述べた[2]
  9. 11月4日 公表 SECへのForm 10-Qで、6月に組織向けの通知を、7月下旬に個人への通知を始めたと説明した[6]
  10. 2025年
  11. 2月27日 公表 SECへのForm 10-Kで、影響を受けた人数は約1億9000万人、2024年通期の直接対応コストは22億ドルと説明した[7]

攻撃した側について

会社は上院財政委員会への文書回答で、攻撃への関与はALPHV/BlackCatと名乗る犯罪集団が自ら主張したものだと説明しており、UHG自身が攻撃者を特定したとは述べていない。公的機関がこの攻撃についてALPHV/BlackCatの関与を独自に認定した記録は確認できなかったため、本データセットの攻撃者一覧には含めていない

出典

2026年10月24日に開いて確かめました。本文の [1] などの数は、この一覧の番号です。

  1. UnitedHealth Group Form 8-K (Material Cybersecurity Incidents, dated February 21, 2024) UnitedHealth Group (SEC 提出書類)、2024年2月22日、被害組織の資料
  2. S. Hrg. 118-785, Hacking America's Health Care — Assessing the Change Healthcare Cyberattack and What's Next (Senate Committee on Finance, May 1, 2024) 米上院財政委員会 (Government Publishing Office)、2024年5月1日、議会の資料
  3. UnitedHealth Group Update on Change Healthcare Cyberattack (March 7, 2024) UnitedHealth Group、2024年3月7日、被害組織の資料
  4. UnitedHealth Group Cyberattack Status Update (March 18, 2024) UnitedHealth Group、2024年3月18日、被害組織の資料
  5. UnitedHealth Group Updates on Change Healthcare Cyberattack (April 22, 2024) UnitedHealth Group、2024年4月22日、被害組織の資料
  6. UnitedHealth Group Form 10-Q (period ended September 30, 2024) UnitedHealth Group (SEC 提出書類)、2024年11月4日、被害組織の資料
  7. UnitedHealth Group Form 10-K (fiscal year 2024) UnitedHealth Group (SEC 提出書類)、2025年2月27日、被害組織の資料