美国“很大一部分”公民个人信息数据在 Change Healthcare 勒索软件攻击中被盗

该公司的母公司周一表示，在 2 月份针对 Change Healthcare 的勒索软件攻击中，“相当一部分美国人”的个人信息被盗取。 

该公司面临医疗保健提供者和立法者的质疑，称黑客掌握了哪些个人数据，这些黑客声称拥有数 TB 的公司数据。

在上周的国会听证会上，一名医生作证说，他们多次向拥有 Change Healthcare 的联合健康集团询问，考虑到该公司处理大约三分之一的医疗记录并处理大约一半的医疗索赔，他们应该告诉患者什么在美国 

联合健康在一份声明中表示，它将向任何受影响的人提供为期两年的免费信用监控和身份盗窃保护，但没有透露有多少人受到影响，也没有说明有人如何知道他们拥有这家医疗保健巨头获得的信息。

该公司表示：“根据迄今为止的初步目标数据采样，该公司发现了包含受保护健康信息（PHI）或个人身份信息（PII）的文件，这些文件可能覆盖了相当大比例的美国人口。  ”

“鉴于数据审查的持续性质和复杂性，可能需要几个月的持续分析才能获得足够的信息来识别和通知受影响的客户和个人。”

该公司没有回应有关受影响人数估计、访问了哪些信息以及向黑客支付的赎金等几个问题。联合健康集团周一向CNN和CNBC证实，它支付了赎金，“作为该公司尽全力保护患者数据不被泄露的承诺的一部分”。

目前尚不清楚这笔款项是  几周前据称支付给 AlphV 勒索软件团伙的2200 万美元，还是通过名为 RansomHub 的组织出售该公司数据的第二批黑客。据报道，RansomHub 周末删除了联合健康集团的帖子。

该公司针对 RansomHub 的帖子发表声明称，该网站上发布了 22 张屏幕截图，其中包括带有一些个人信息的泄露文件。据 UnitedHealth 称，该信息仅在暗网上发布了大约一周，“目前尚未进一步发布 PHI 或 PII”。

《华尔街日报》周一  报道称，黑客在发起勒索软件攻击之前，已在联合健康集团的系统中停留了一个多星期，他们使用远程管理工具上受损的凭据来获得初始访问权限。

美国卫生与公众服务部 (HHS)上个月表示，已开始调查受保护的健康信息是否遭到泄露，以及 Change Healthcare 和 UHG 是否遵守健康保险流通与责任法案 (HIPAA) 规则。

联合健康集团创建了一个网站和呼叫中心，供受害者获取更多信息，但指出他们“目前无法提供有关个人数据影响的任何具体信息。”

该公司表示，计划通知受害者并代表供应商和客户满足监管要求——解决上周众议院听证会上医生提出的直接投诉。 

该公司首席执行官安德鲁·威蒂 (Andrew Witty)将于 5 月 1 日在众议院能源和商业委员会作证。