Change Healthcare, 100 millions de notifications : le cumul sur un fournisseur unique

Le 22 octobre 2024, Change Healthcare a déclaré environ 100 millions de notifications liées à l'attaque de février ; le décompte final atteint 192,7 millions. L'analyse : concentration, carence de fournisseur, notifications, rançon et questions pour les renouvellements.

Archives : reconstitution rédigée en novembre 2026

Thème du mois d'octobre 2024 · par cybercoverinsurance

Le 22 octobre 2024, Change Healthcare a indiqué au régulateur sanitaire américain avoir envoyé environ 100 millions de notifications individuelles à la suite du vol de données lié à l'attaque par ransomware de février. C'était le premier chiffre officiel. Le 31 juillet 2025, le décompte final a atteint 192,7 millions de personnes. Quelques jours avant cette notification, la maison mère UnitedHealth Group avait porté à environ 2,87 milliards de dollars son estimation du coût de l'attaque pour la seule année 2024.

Change Healthcare est le cas d'école du cumul sur un fournisseur unique. Une entreprise peu connue du public traitait une part considérable des paiements de santé aux États-Unis. Quand elle s'est arrêtée, des dizaines de milliers de médecins, d'hôpitaux et de pharmacies ont perdu de la trésorerie sans avoir été compromis. Pour qui porte le risque cyber, le cas met à l'épreuve trois garanties à la fois : la responsabilité liée aux données, la perte d'exploitation de l'assuré attaqué et celle, bien plus répandue, de ses clients.

Ce que l'on sait

L'attaque. Les attaquants sont entrés avec des identifiants volés dans un portail d'accès à distance Citrix dépourvu d'authentification multifacteur. Ils ont dérobé environ 6 To de données et chiffré les systèmes, et l'entreprise a arrêté son infrastructure (BleepingComputer). L'accès remonte au 12 février 2024 ; l'attaque a été découverte le 21 février. Optum, la société du groupe dont dépend Change, a versé une rançon de 22 millions de dollars au groupe BlackCat (ALPHV) (Nixon Peabody). BlackCat a disparu en conservant la totalité du montant. L'affilié qui avait mené l'attaque est passé chez RansomHub et a exigé un second paiement (BleepingComputer).

Les données. Le vol comprend des données d'assurance, des diagnostics, des médicaments, des résultats d'examens et des images, des données de facturation et de paiement, des numéros de sécurité sociale et des pièces d'identité (BleepingComputer). L'estimation est passée de 100 millions (octobre 2024) à 190 millions puis à 192,7 millions (juillet 2025). Change a précisé que le chiffre final pouvait être légèrement surestimé, faute d'avoir pu éliminer tous les doublons (HIPAA Journal).

La concentration. Selon l'Office of Financial Research du Trésor américain, Change traite environ 2 000 milliards de dollars de demandes de remboursement médicales par an, soit une part estimée à 44 % des flux du système de santé. Elle touche un dossier patient sur trois et sert environ 189 000 professionnels de santé. Plus d'un tiers des clients avaient des contrats avec clause d'exclusivité (OFR).

Les coûts. UnitedHealth a déclaré 872 millions de dollars de pertes en avril 2024 puis, en octobre, une estimation d'environ 2,87 milliards pour l'ensemble de 2024, entre coûts de réponse et pertes d'exploitation (Healthcare Innovation). Optum a avancé environ 9 milliards de dollars aux professionnels via un programme d'aide financière temporaire. En avril 2025, il en avait récupéré environ 3,2 milliards (HIPAA Journal).

Les suites. Les actions ont été regroupées dans une procédure fédérale au Minnesota. Les professionnels de santé contestent aussi les conditions de remboursement des avances. L'État du Nebraska a porté plainte en décembre 2024 et, en novembre 2025, le juge a rejeté la demande d'irrecevabilité (HIPAA Journal). En novembre 2025, le régulateur sanitaire fédéral (OCR) n'avait encore annoncé aucun résultat de son enquête (Nixon Peabody).

Le fournisseur que personne ne peut remplacer

Un nœud qui porte 44 % des flux n'a pas d'alternative prête. L'OFR relève que certains payeurs n'avaient pas de système de paiement de secours et que les clauses d'exclusivité empêchaient d'autres intermédiaires de se connecter. Change a ensuite renoncé aux exclusivités, mais changer d'intermédiaire prend du temps et coûte cher. Pendant des semaines, beaucoup de professionnels n'avaient pas de plan B.

Le dommage des clients a d'abord été un dommage de trésorerie. Selon une enquête de l'American Hospital Association citée par l'OFR, 94 % des hôpitaux ont subi un impact financier et plus de la moitié l'ont jugé significatif ou grave. 55 % des médecins ont utilisé des fonds personnels pour couvrir les frais de leur cabinet. Pour un petit professionnel, le problème n'était pas de perdre des recettes, mais de les encaisser avec des mois de retard.

Une perte de trésorerie n'est pas une perte de chiffre d'affaires. Beaucoup de garanties pertes d'exploitation indemnisent la marge perdue, pas le retard d'encaissement. Une recette qui arrive avec trois mois de retard peut ne déclencher aucune indemnité, même si elle a mis l'assuré en difficulté. Les intérêts de prêts relais ne sont des frais supplémentaires que si la police le prévoit.

Les trois polices en jeu

La police de Change répond pour son propre dommage et sa propre responsabilité. Coûts de réponse, notifications à 192,7 millions de personnes, pertes d'exploitation et défense dans les procès. Un événement de plusieurs milliards dépasse de loin la capacité de tout programme cyber. L'essentiel reste à la charge du groupe.

Les polices des clients ne répondent qu'au titre de la carence de fournisseur. Médecins, hôpitaux et pharmacies n'ont pas été compromis. Leur dommage naît de l'arrêt d'un fournisseur. Selon Kirsten Bay, PDG de Cysurance, interrogée en juillet 2024, de nombreuses organisations allaient déclarer des sinistres de carence, même modestes, et la garantie allait se resserrer (TechTarget). Beaucoup de polices limitent cette garantie aux prestataires informatiques, avec des sous-limites basses et de longues franchises en temps. Un intermédiaire de paiement de santé peut ne pas entrer dans la définition.

L'événement a été classé catastrophe cyber. L'OFR indique que PCS l'a classé catastrophe cyber, catégorie réservée aux événements dont les pertes assurées attendues dépassent 250 millions de dollars. C'était le deuxième événement à recevoir ce classement. L'OFR ajoute que la majeure partie des pertes des entreprises n'était pas assurée.

Notifications et responsabilité : le coût qui grandit avec le temps

Le nombre de personnes a presque doublé en neuf mois. De 100 à 192,7 millions. Chaque révision a augmenté les coûts de notification et d'assistance et le nombre de demandeurs potentiels. Une provision fixée en octobre 2024 aurait été insuffisante.

Déléguer les notifications déplace le coût, pas le risque. En mai 2024, le régulateur fédéral a précisé que les professionnels de santé pouvaient déléguer à Change leurs obligations de notification (Nixon Peabody). Cela a évité des millions de courriers en double. Mais chaque professionnel devait encore évaluer sa propre situation, et une notification mal faite par un tiers peut tout de même retomber sur le responsable des données.

Le contentieux dure des années. Près de deux ans après l'attaque, la procédure fédérale n'était pas close et l'action du Nebraska venait seulement de franchir le premier filtre. Pour qui porte le risque, les sinistres de responsabilité liés au vol de données de santé ont une longue traîne, et les frais de défense courent bien avant tout accord.

Une rançon payée, une extorsion qui ne s'arrête pas

Le paiement n'a pas acheté l'effacement des données. Optum a payé 22 millions de dollars. BlackCat a gardé la totalité et l'affilié a apporté les données à un autre groupe. Le cas montre qu'une rançon ne garantit ni l'effacement ni la fin de l'extorsion.

Pour la police, la question est de savoir qui décide. Les garanties extorsion exigent en général l'accord de l'assureur et un contrôle des sanctions. Une seconde demande d'un acteur différent, avec les mêmes données, est-elle un nouveau sinistre ou le même ? Les conditions le disent rarement clairement.

Ce qu'il faut apporter aux renouvellements

Impact pour les assureursÉlevé

Un seul fournisseur en position dominante a produit des pertes directes de plusieurs milliards et des pertes par carence chez des dizaines de milliers de clients.

Questions pour le questionnaire de souscription

Quels fournisseurs externes gèrent les encaissements, les paiements ou la facturation, et quelle part du chiffre d'affaires passe par chacun ?
Pour chacun de ces fournisseurs, existe-t-il une alternative déjà connectée et testée, ou un contrat d'exclusivité qui l'empêche ?
Pendant combien de jours l'organisation peut-elle fonctionner si les encaissements s'arrêtent, et avec quelles lignes de crédit ?
Tous les accès à distance, y compris ceux des fournisseurs, exigent-ils une authentification multifacteur sans exception ?
La garantie de carence couvre-t-elle des fournisseurs non informatiques comme les intermédiaires de paiement, et avec quelle sous-limite et quelle franchise en temps ?
Les contrats avec les fournisseurs qui traitent des données personnelles précisent-ils qui paie notifications, assistance et défense en cas de violation ?

Côté portefeuille, le cas Change impose de cartographier non seulement les fournisseurs cloud communs, mais aussi les intermédiaires sectoriels : paiements de santé, logiciels de gestion pour concessionnaires, plateformes de réservation. Si une large part des assurés d'un secteur dépend d'un seul nœud, le cumul doit être traité avec des scénarios et des limites dédiés.