Change HealthCare : l’attaque par rançongiciel a coûté 872 millions de dollars

Le groupe de santé américain UnitedHealth est revenu, le 22 avril 2024, sur l’attaque par rançongiciel qui a frappé, fin février 2024, sa filiale Change HealthCare. Cette dernière traite l’assurance et la facturation d’hôpitaux, de cabinets médicaux et, surtout, de centaines de milliers de pharmacies aux États-Unis. UnitedHealth gère l’assurance maladie d’environ la moitié des Américains.

Le groupe reconnaît que la cyberattaque a occasionné un vol de données de grande ampleur. « Sur la base d’un premier échantillonnage de données ciblées à ce jour, la société a trouvé des fichiers contenant des données de santé protégées, ou des informations personnellement identifiables, qui pourraient couvrir une proportion substantielle des habitants des États-Unis », peut-on ainsi lire dans son communiqué.

UnitedHealth a également admis avoir payé une rançon de 22 millions de dollars (20,6 millions d’euros) à BlackCat/ALPHV, le gang de ransomware russophone responsable de l’attaque. Le groupe cybercriminel a d’ailleurs cessé ses activités peu après ce coup d’éclat.

Mais, mi-avril 2024, un autre gang de rançongiciel, RansomHub, a publié sur le dark web des échantillons de données issues du piratage de Change HealthCare. Il affirmait détenir 4 To d’informations sensibles, qu’il menaçait de mettre en vente en cas de non-paiement d’une nouvelle rançon. Tyler Mason, porte-parole d’UnitedHealth, a indiqué à TechCrunch que la firme avait payé cette seconde rançon, d’un montant non dévoilé.

UnitedHealth chiffre le préjudice de l’attaque à 872 millions de dollars (815 millions d’euros). Le groupe a provisionné 800 autres millions de dollars (747 millions d’euros) pour faire face à d’autres conséquences potentielles de l’incident. UnitedHealth a réalisé un chiffre d’affaires de 99,8 milliards de dollars (93,2 milliards d’euros) au premier trimestre 2024, pour un bénéfice net de 7,9 milliards de dollars (7,38 milliards d’euros).

Le choix de la firme de payer deux fois la rançon a été très critiqué, car il risque d’inciter les groupes cybercriminels à cibler le secteur médical aux États-Unis.