Change Healthcare, 100 millones de notificaciones: el cúmulo en un único proveedor

El 22 de octubre de 2024 Change Healthcare comunicó unos 100 millones de notificaciones por el ataque de febrero; el recuento final es de 192,7 millones. El análisis: concentración, interrupción por dependencia, notificaciones, rescate y preguntas para las renovaciones.

Archivo: reconstrucción escrita en noviembre de 2026

Tema del mes de octubre de 2024 · por cybercoverinsurance

El 22 de octubre de 2024 Change Healthcare comunicó al regulador sanitario estadounidense que había enviado unos 100 millones de notificaciones individuales por el robo de datos del ataque de ransomware de febrero. Era la primera cifra oficial. El 31 de julio de 2025 el recuento final llegó a 192,7 millones de personas. Pocos días antes de la notificación, la matriz UnitedHealth Group había elevado a unos 2.870 millones de dólares la estimación de los costes del ataque solo para 2024.

Change Healthcare es el caso de manual del cúmulo en un único proveedor. Una empresa poco conocida por el público gestionaba una parte enorme de los pagos sanitarios de Estados Unidos. Cuando se detuvo, decenas de miles de médicos, hospitales y farmacias perdieron liquidez sin haber sido vulnerados. Para quien asume el riesgo cyber, el caso pone a prueba tres garantías a la vez: la responsabilidad por los datos, la business interruption del asegurado atacado y la de sus clientes, mucho más extendida.

Lo que se sabe

El ataque. Los atacantes entraron con credenciales robadas en un portal de acceso remoto Citrix sin autenticación multifactor. Sustrajeron unos 6 TB de datos y cifraron los sistemas, y la empresa apagó su infraestructura (BleepingComputer). El acceso data del 12 de febrero de 2024; el ataque se descubrió el 21 de febrero. Optum, la sociedad del grupo de la que depende Change, pagó un rescate de 22 millones de dólares al grupo BlackCat (ALPHV) (Nixon Peabody). BlackCat desapareció quedándose con todo el importe. El afiliado que había dirigido el ataque pasó a RansomHub y exigió un segundo pago (BleepingComputer).

Los datos. El robo incluye datos de seguros, diagnósticos, medicamentos, resultados de pruebas e imágenes, datos de facturación y pago, números de la seguridad social y documentos de identidad (BleepingComputer). La estimación subió de 100 millones (octubre de 2024) a 190 millones y después a 192,7 millones (julio de 2025). Change advirtió de que la cifra final puede estar algo sobrestimada, porque no fue posible eliminar todos los duplicados (HIPAA Journal).

La concentración. Según la Office of Financial Research del Tesoro estadounidense, Change gestiona unos 2 billones de dólares de reclamaciones médicas al año, una cuota estimada del 44% de los flujos del sistema sanitario. Toca uno de cada tres historiales clínicos y presta servicio a unos 189.000 profesionales sanitarios. Más de un tercio de los clientes tenía contratos con cláusula de exclusividad (OFR).

Los costes. UnitedHealth indicó 872 millones de dólares de pérdidas en abril de 2024 y, en octubre, una estimación de unos 2.870 millones para todo 2024, entre costes de respuesta y pérdidas por interrupción (Healthcare Innovation). Optum anticipó a los profesionales unos 9.000 millones de dólares a través de un programa de ayuda financiera temporal. En abril de 2025 había recuperado unos 3.200 millones (HIPAA Journal).

Los desarrollos posteriores. Las demandas se acumularon en un procedimiento federal en Minnesota. Los profesionales sanitarios también impugnan las condiciones de devolución de los anticipos. El Estado de Nebraska demandó en diciembre de 2024 y en noviembre de 2025 el juez rechazó la petición de archivo (HIPAA Journal). En noviembre de 2025 el regulador sanitario federal (OCR) aún no había anunciado resultados de su investigación (Nixon Peabody).

El proveedor que nadie puede sustituir

Un nodo con el 44% de los flujos no tiene alternativas listas. La OFR señala que algunos pagadores no tenían un sistema de pago de reserva y que las cláusulas de exclusividad impedían a otros intermediarios conectarse. Change renunció después a las exclusivas, pero cambiar de intermediario cuesta tiempo y dinero. Durante semanas, para muchos profesionales no existía un plan B.

El daño a los clientes fue sobre todo de liquidez. Según una encuesta de la American Hospital Association citada por la OFR, el 94% de los hospitales sufrió un impacto financiero y más de la mitad lo calificó de significativo o grave. El 55% de los médicos usó fondos personales para cubrir los gastos de la consulta. Para un profesional pequeño, el problema no era perder ingresos, sino cobrarlos con meses de retraso.

La pérdida de liquidez no es una pérdida de ingresos. Muchas garantías de business interruption indemnizan el margen perdido, no el retraso en los cobros. Un ingreso que llega con tres meses de retraso puede no generar ninguna indemnización, aunque haya puesto al asegurado en dificultades. Los intereses de préstamos puente son un gasto extraordinario solo si la póliza lo prevé.

Las tres pólizas en juego

La póliza de Change responde por su propio daño y su propia responsabilidad. Costes de respuesta, notificaciones a 192,7 millones de personas, pérdidas por interrupción y defensa en las demandas. Un evento de miles de millones supera con mucho la capacidad de cualquier programa cyber. La mayor parte queda a cargo del grupo.

Las pólizas de los clientes solo responden con la garantía de interrupción por dependencia. Médicos, hospitales y farmacias no fueron vulnerados. Su daño nace de la parada de un proveedor. Según Kirsten Bay, CEO de Cysurance, entrevistada en julio de 2024, muchas organizaciones presentarían reclamaciones por business interruption por dependencia, incluso pequeñas, y la garantía se volvería más restrictiva (TechTarget). Muchas pólizas limitan esta garantía a proveedores de TI, con sublímites bajos y franquicias temporales largas. Un intermediario de pagos sanitarios puede no encajar en la definición.

El evento se clasificó como catástrofe cyber. La OFR indica que PCS lo clasificó como catástrofe cyber, la categoría para eventos con daños asegurados esperados superiores a 250 millones de dólares. Fue el segundo evento en recibir esta clasificación. La OFR añade que la mayor parte de las pérdidas de las empresas no estaba asegurada.

Notificaciones y responsabilidad: el coste que crece con el tiempo

El número de personas casi se duplicó en nueve meses. De 100 a 192,7 millones. Cada revisión aumentó los costes de notificación y asistencia y el número de posibles demandantes. Una reserva fijada en octubre de 2024 habría quedado corta.

Delegar las notificaciones desplaza el coste, no el riesgo. En mayo de 2024 el regulador federal aclaró que los profesionales sanitarios podían delegar en Change sus obligaciones de notificación (Nixon Peabody). Evitó millones de comunicaciones duplicadas. Pero cada profesional seguía obligado a valorar su propia posición, y una notificación mal hecha por un tercero puede recaer igualmente en el titular de los datos.

El litigio dura años. Casi dos años después del ataque, el procedimiento federal no estaba cerrado y la demanda de Nebraska acababa de superar el primer filtro. Para quien asume el riesgo, los siniestros de responsabilidad por robo de datos sanitarios tienen una cola larga, y los gastos de defensa corren antes de cualquier acuerdo.

Un rescate pagado, una extorsión que no termina

El pago no compró el borrado de los datos. Optum pagó 22 millones de dólares. BlackCat se quedó con todo el importe y el afiliado llevó los datos a otro grupo. El caso demuestra que un rescate no garantiza ni el borrado ni el fin de la extorsión.

Para la póliza, la pregunta es quién decide. Las garantías de extorsión exigen normalmente el consentimiento del asegurador y la comprobación de sanciones. ¿Una segunda exigencia de un actor distinto, con los mismos datos, es un nuevo siniestro o el mismo? Los condicionados rara vez lo dicen con claridad.

Qué llevar a las renovaciones

Impacto para las aseguradorasAlto

Un solo proveedor con una cuota de mercado dominante produjo daños directos de miles de millones y daños por dependencia en decenas de miles de clientes.

En el lado de la cartera, el caso Change exige mapear no solo los proveedores cloud comunes, sino también los intermediarios sectoriales: pagos sanitarios, software de gestión para concesionarios, plataformas de reservas. Si una parte amplia de los asegurados de un sector depende de un solo nodo, el cúmulo debe tratarse con escenarios y límites específicos.