Um ataque cibernético a uma unidade afiliada à UnitedHealthcare, a maior seguradora do país, interrompeu os pedidos de prescrição de medicamentos em milhares de farmácias durante quase uma semana.
O ataque à unidade Change Healthcare, divisão da Optum da United, foi descoberto na última quarta-feira. O ataque parecia ter sido cometido por um país estrangeiro, de acordo com dois altos funcionários federais da lei, que expressaram alarme com a extensão da perturbação na segunda-feira.
UnitedHealth Group, o conglomerado, disse em um arquivo federal que foi forçada a desconectar parte da vasta rede digital da Change Healthcare de seus clientes e, até segunda-feira, não conseguiu restaurar todos esses serviços.
A Change processa cerca de 15 mil milhões de transacções por ano, representando um em cada três registos de pacientes nos EUA e envolvendo não apenas prescrições, mas também necessidades dentárias, clínicas e outras necessidades médicas. A empresa foi adquirida pelo UnitedHealth Group por US$ 13 bilhões em 2022.
Este último ataque sublinha a vulnerabilidade dos dados de cuidados de saúde, especialmente das informações pessoais dos pacientes, incluindo os seus registos médicos privados. Centenas de violações em hospitais, planos de saúde e consultórios médicos estão sendo investigados, segundo registros federais.
Neste caso, a perturbação foi generalizada, inclusive para militares dos EUA no exterior. A Change atua como um intermediário digital para ajudar as farmácias a verificar a cobertura do seguro do paciente para as suas receitas, e alguns relatórios indicam que as pessoas foram forçadas a pagar em dinheiro.
Na semana passada, depois de a UnitedHealth ter descoberto o que descreveu como “um suspeito de ameaça à segurança cibernética associada ao Estado-nação” visando a Change, a empresa encerrou vários serviços, incluindo aqueles que permitiam às farmácias verificar rapidamente o que um paciente deve por um medicamento. Alguns hospitais e grupos de médicos que dependem do Change para receber o faturamento também podem ser afetados.
Grandes redes de drogarias como a Walgreens afirmam que os efeitos foram limitados, mas muitas empresas menores afirmam que confiam na Change sempre que administram uma receita para alguém com seguro.
“Na última semana, foi um sucesso ou um fracasso sobre se poderíamos cuidar dos pacientes”, disse Dared Price, que opera sete farmácias no Kansas. Embora os pacientes possam pagar em dinheiro se o medicamento for barato, ele diz que alguns de seus clientes não conseguiram obter tratamentos mais caros para gripe ou Covid porque seu status de seguro não é claro.
“É um desastre”, disse ele.
A Tricare, que cobre as forças armadas dos EUA, disse que as suas farmácias nos Estados Unidos e no estrangeiro estão a ser forçadas a aviar receitas manualmente. Continuou a alertar as pessoas esta semana sobre possíveis atrasos na obtenção de medicamentos.
Os detalhes sobre o ataque, incluindo se alguma informação pessoal do paciente foi roubada, são limitados. A Change vem fazendo breves atualizações periódicas em seu site. Na segunda-feira, a empresa reiterou que os serviços afetados provavelmente ficariam indisponíveis por pelo menos mais um dia. Também enfatizou que tinha um “alto nível de confiança” de que outras partes dos negócios da United não foram alvo do ataque.
Mas não há dúvida de que a United, cujos negócios em expansão abrangem quase todos os aspectos dos cuidados de saúde, era um alvo particularmente rico.
“Se você pretende roubar registros, você deve ir atrás do maior conjunto de registros que puder obter”, disse Fred Langston, diretor de produtos da Critical Insight, uma empresa de segurança cibernética. “Você está literalmente tirando a sorte grande.”
Os motivos do agressor ainda não são conhecidos, disse Langston. Pode envolver ransomware, permitindo que os culpados exijam algum tipo de resgate. A intenção também pode ter sido desorganizar o sistema de saúde, dificultando o preenchimento de receitas ou a cobrança de cuidados em tempo hábil.
“Há uma concentração de serviços de missão crítica para todo o setor, o que representa uma concentração de risco”, disse John Riggi, conselheiro nacional para segurança cibernética e risco da American Hospital Association. Ela tem aconselhado os hospitais a terem cuidado ao se conectarem à Change ou a empresas afiliadas.
A indústria tem visto um número crescente deste tipo de ataques, disse Cliff Steinhauer, diretor de segurança da informação e envolvimento da Aliança Nacional de Segurança Cibernética, um grupo sem fins lucrativos.
De acordo com autoridades federais, as grandes violações de dados de saúde quase duplicaram entre 2018 e 2022, incluindo um aumento no número envolvendo ransomware. Os pacientes tiveram que ir para instalações diferentes, resultando em atrasos no atendimento, de acordo com um relatório recente.
Segundo a lei federal, os pacientes devem eventualmente ser notificados se suas informações forem objeto de algum tipo de violação, disse Steinhauer. As pessoas serão alertadas mesmo que suas informações não pareçam estar disponíveis publicamente.
“Será pior se descobrirmos que a informação está à venda na dark web”, disse ele.
Glenn Tordo e Helene Cooper contribuiu com reportagens de Washington.
