Serangan kiber pada sebuah unit yang berafiliasi dengan UnitedHealthcare, perusahaan asuransi terbesar di negara ini, telah mengganggu pesanan resep obat di ribuan apotek selama hampir seminggu.
Serangan terhadap unit Change Healthcare, sebuah divisi dari Optum milik UnitedHealth, ditemukan pada hari Rabu minggu lalu. Serangan tersebut diyakini berasal dari negara asing, menurut dua pejabat penegak hukum federal senior, yang menyatakan kekhawatiran atas tingkat gangguan tersebut pada hari Senin.
UnitedHealth Group, konglomerat tersebut, menyatakan dalam pengajuan federal bahwa mereka terpaksa memutuskan beberapa jaringan digital Change Healthcare dari klien-kliennya, dan per tanggal Senin kemarin, belum berhasil memulihkan seluruh layanan tersebut.
Change mengelola sekitar 15 miliar transaksi setiap tahun, mewakili sebanyak satu dari tiga catatan pasien AS dan melibatkan tidak hanya resep obat tetapi juga kebutuhan medis gigi, klinis, dan lainnya. Perusahaan ini diakuisisi oleh UnitedHealth Group dengan harga $13 miliar pada tahun 2022.
Serangan terbaru ini menunjukkan kerentanan data perawatan kesehatan, terutama informasi pribadi pasien, termasuk catatan medis pribadi mereka. Ratusan pelanggaran di rumah sakit, rencana kesehatan, dan kantor dokter sedang diselidiki, menurut catatan federal.
Dalam kasus ini, gangguan telah meluas, termasuk bagi anggota militer AS di luar negeri. Change bertindak sebagai perantara digital untuk membantu apotek memverifikasi cakupan asuransi pasien untuk resep obat mereka, dan beberapa laporan menunjukkan bahwa orang-orang terpaksa membayar tunai.
Minggu lalu, setelah UnitedHealth menemukan apa yang mereka gambarkan sebagai “pelaku ancaman keamanan siber terkait negara yang dicurigai” menargetkan Change, perusahaan tersebut menutup beberapa layanan, termasuk yang memungkinkan apotek untuk dengan cepat memeriksa berapa yang harus dibayar pasien untuk suatu obat. Beberapa rumah sakit dan kelompok dokter yang mengandalkan Change untuk penagihan pembayaran mungkin juga terpengaruh.
Rantai apotek besar seperti Walgreens mengatakan efeknya terbatas, namun banyak toko kecil mengatakan bahwa mereka bergantung pada Change setiap kali mereka menangani resep untuk seseorang yang memiliki asuransi.
“Selama seminggu terakhir, kami sering tidak bisa merawat pasien,” kata Dared Price, yang memiliki tujuh apotek di Kansas. Meskipun pasien dapat membayar tunai jika obatnya murah, ia mengatakan bahwa beberapa pelanggannya tidak dapat memperoleh perawatan yang lebih mahal untuk flu atau Covid karena status asuransinya tidak jelas.
“Ini benar-benar kacau,” katanya.
Tricare, yang mencakup militer AS, mengatakan apotek-apoteknya di Amerika Serikat dan di luar negeri terpaksa mengisi resep secara manual. Mereka terus memperingatkan orang-orang minggu ini tentang kemungkinan keterlambatan dalam mendapatkan obat-obatan.
Rincian tentang serangan, termasuk apakah ada informasi pribadi pasien yang dicuri, terbatas. Change telah memberikan pembaruan singkat secara periodik di situs webnya. Pada hari Senin, perusahaan tersebut mengulangi bahwa layanan yang terkena dampak kemungkinan tidak akan tersedia setidaknya selama satu hari lagi. Mereka juga menekankan bahwa mereka memiliki “tingkat kepercayaan yang tinggi” bahwa bagian lain dari bisnis United tidak ditargetkan dalam serangan tersebut.
Namun, tidak diragukan lagi bahwa United, yang bisnisnya luas mencakup hampir setiap aspek perawatan kesehatan, menjadi target yang sangat menarik.
“Jika Anda ingin mencuri catatan, Anda ingin mengincar pot catatan terbesar yang bisa Anda dapatkan,” kata Fred Langston, kepala pejabat produk untuk Critical Insight, sebuah perusahaan keamanan siber. “Anda sedang memenangkan pertaruhan.”
Motivasi dari penyerang ini belum diketahui, kata Mr. Langston. Hal itu mungkin melibatkan ransomware, memungkinkan pelaku untuk menuntut semacam tebusan. Tujuan juga mungkin untuk menyebabkan kekacauan di sistem perawatan kesehatan dengan membuat lebih sulit untuk mengisi resep atau mem-tagih perawatan dengan tepat waktu.
“Anda memiliki konsentrasi layanan kritis misi untuk sektor keseluruhan, yang mewakili konsentrasi risiko,” kata John Riggi, penasihat nasional untuk keamanan siber dan risiko untuk American Hospital Association. Ia telah menyarankan rumah sakit untuk berhati-hati tentang terhubung ke Change atau bisnis terafiliasi.
Industri ini telah melihat peningkatan jumlah serangan semacam ini, kata Cliff Steinhauer, direktur keamanan informasi dan keterlibatan di National Cybersecurity Alliance, sebuah kelompok nirlaba.
Menurut pejabat federal, pelanggaran besar data kesehatan hampir dua kali lipat dari tahun 2018 hingga 2022, termasuk lonjakan jumlah yang melibatkan ransomware. Pasien terpaksa pergi ke fasilitas yang berbeda, menyebabkan keterlambatan dalam perawatan, menurut laporan terbaru.
Menurut undang-undang federal, pasien akhirnya harus diberitahu jika informasi mereka menjadi subjek dari jenis pelanggaran tertentu, kata Mr. Steinhauer. Orang akan diberitahu bahkan jika informasi mereka tidak tampaknya menjadi publik.
“Lebih buruk lagi jika kita mengetahui bahwa informasi tersebut dijual di dark web,” katanya.
Glenn Thrush dan Helene Cooper turut memberikan laporan dari Washington.