El ciberataque de UnitedHealth interrumpe la cobertura de medicamentos recetados

Actualizado el 27 de febrero para incluir las nuevas declaraciones de la compañía.

Un ciberataque a una unidad afiliada a UnitedHealthcare, la aseguradora más grande del país, interrumpió los pedidos de medicamentos recetados en miles de farmacias durante aproximadamente una semana.

El asalto a la unidad Change Healthcare, una división de Optum de United, fue descubierto el pasado miércoles. El ataque parece haber sido llevado a cabo por un país extranjero, según dos altos funcionarios federales encargados de hacer cumplir la ley, quienes expresaron alarma el lunes por la magnitud de la perturbación.

UnitedHealth Group, el conglomerado, dijo en una presentación federal que se vio obligado a desconectar parte de la vasta red digital de Change Healthcare de sus clientes y que hasta el martes no había podido restaurar todos esos servicios. La compañía no proporcionó ningún cronograma sobre cuándo podría volver a conectarse.

Change maneja unos 15 mil millones de transacciones anualmente, lo que representa hasta uno de cada tres registros de pacientes estadounidenses e involucra no sólo recetas, sino también necesidades dentales, clínicas y otras necesidades médicas. La empresa fue adquirida por UnitedHealth Group por 13.000 millones de dólares en 2022.

Este último ataque pone de relieve la vulnerabilidad de los datos de salud, en particular la información personal de los pacientes, incluidos sus registros médicos privados. Se están investigando cientos de infracciones en hospitales, planes de salud y consultorios médicos, según muestran los registros federales.

Las autoridades federales dicen que están siguiendo de cerca la situación. «Este incidente es otro recordatorio de la interconexión del ecosistema de atención médica de la nación y la urgencia de desarrollar resiliencia en materia de ciberseguridad en todo el ecosistema», dijo Jeff Nesbit, portavoz del Departamento de Salud y Servicios Humanos de EE. UU., que dijo que estaba en contacto con otras agencias federales.

En este caso, las perturbaciones fueron generalizadas, incluso para el ejército estadounidense en el extranjero. Change actúa como intermediario digital para ayudar a las farmacias a verificar la cobertura de seguro de un paciente para sus recetas, y algunos informes indican que las personas se han visto obligadas a pagar en efectivo.

La semana pasada, después de que UnitedHealth descubriera lo que describió como «un presunto actor de amenaza a la seguridad cibernética de un estado-nación» dirigido a Change, la compañía cerró varios servicios, incluidos aquellos que permitían a las farmacias verificar rápidamente lo que un paciente debe por un medicamento. Algunos hospitales y grupos de médicos que dependen de Change para facturar y recibir pagos también pueden verse afectados.

Las grandes cadenas de farmacias como Walgreens dicen que los efectos han sido limitados, pero muchas empresas más pequeñas dicen que dependen de Change cada vez que surten una receta para un asegurado.

«Durante la última semana, ha sido incierto si podemos atender a los pacientes», dijo Dared Price, que opera siete farmacias en Kansas. Aunque los pacientes pueden pagar en efectivo si los medicamentos son económicos, dice que algunos de sus clientes no han podido obtener tratamientos más caros contra la gripe o el Covid porque no está claro el estado de su seguro.

«Es una debacle», dijo.

Tricare, que cubre al ejército estadounidense, dijo que sus farmacias en Estados Unidos y en el extranjero se vieron obligadas a surtir las recetas manualmente. Continuó advirtiendo a la gente esta semana sobre posibles retrasos en la obtención de medicamentos.

En un comunicado emitido el lunes por la noche, Change dijo que había «trabajado estrechamente con nuestros clientes para garantizar que las personas tengan acceso a los medicamentos y la atención que necesitan». La compañía dijo que la gran mayoría de las farmacias han encontrado formas de seguir surtiendo recetas, y agregó el martes que el volumen de reclamaciones ha vuelto a niveles normales.

La compañía dijo que sólo una pequeña fracción de sus propios clientes han informado problemas para obtener sus medicamentos.

Los detalles sobre el ataque, incluido si se robó la información personal de los pacientes, son limitados. Change ha realizado breves actualizaciones periódicas en su sitio web. El lunes, la compañía reiteró que los servicios afectados probablemente no estarían disponibles durante al menos un día más. También destacó que tenía un «alto nivel de confianza» en que otras áreas de negocios de United no fueron el objetivo del ataque.

Pero no hay duda de que United, cuyas operaciones en expansión abarcan casi todos los aspectos de la atención médica, era un objetivo particularmente rico.

«Si quieres robar registros, debes buscar tantos registros como sea posible», dijo Fred Langston, director de producto de Critical Insight, una empresa de ciberseguridad. «Literalmente te llevaste el premio gordo».

Los motivos del atacante aún no se conocen, dijo Langston. Puede ser ransomware, lo que permite a los culpables exigir algún tipo de rescate. La intención también puede haber sido desorganizar el sistema de atención médica al hacer más difícil surtir recetas o facturar la atención médica de manera oportuna.

«Hay una concentración de servicios críticos para toda la industria, lo que representa una concentración de riesgo», dijo John Riggi, asesor nacional de ciberseguridad y riesgo de la Asociación Estadounidense de Hospitales. Aconseja a los hospitales que tengan cuidado al conectarse con Change o empresas afiliadas.

La industria ha visto un número creciente de este tipo de ataques, dijo Cliff Steinhauer, director de seguridad y compromiso de la información de la Alianza Nacional de Ciberseguridad, un grupo sin fines de lucro.

Según funcionarios federales, las grandes filtraciones de datos de atención médica casi se duplicaron entre 2018 y 2022, incluido un aumento en las cifras relacionadas con ransomware. Según un informe reciente, los pacientes tenían que viajar a diferentes instalaciones, lo que provocaba retrasos en la atención.

Según la ley federal, los pacientes deben ser eventualmente notificados si su información está sujeta a algún tipo de violación, dijo Steinhauer. Las personas serán alertadas incluso si su información no parece haberse hecho pública.

«Es peor si descubrimos que la información está a la venta en la web oscura», afirmó.

Glenn Zorzal Y Helena Cooper contribuyó con informes desde Washington.