Change Healthcare, febbraio 2024: un portale senza MFA ferma la sanità statunitense

Il 12 febbraio 2024 gli attaccanti sono entrati in Change Healthcare con credenziali rubate su un portale Citrix senza autenticazione a più fattori. Il fermo dell'intermediario dei pagamenti sanitari ha tolto liquidità a decine di migliaia di operatori, e le persone notificate sono 192,7 milioni.

Le cause in breve

Accesso iniziale. Credenziali rubate su un portale di accesso remoto Citrix privo di autenticazione a più fattori (BleepingComputer).
Estensione. Accesso dal 12 febbraio, scoperta il 21: in nove giorni sono stati sottratti circa 6 TB di dati e cifrati i sistemi.
Controllo mancato. L'MFA su tutti gli accessi remoti, senza eccezioni.

L'impatto

192,7 milioni di persone notificate (conteggio del 31 luglio 2025) (HIPAA Journal).
Costi stimati da UnitedHealth per il 2024: circa 2,87 miliardi di dollari (Healthcare Innovation).
Change gestisce circa 2.000 miliardi di dollari di richieste di rimborso all'anno; il 94% degli ospedali ha avuto un impatto finanziario (OFR).
Riscatto di 22 milioni di dollari pagato a BlackCat; l'affiliato ha poi chiesto un secondo pagamento (Nixon Peabody).

Cosa avrebbe risposto una polizza cyber

Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.

Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine, assistenza legale e gestione della crisi rispondono per la società colpita.
Ripristino di dati e sistemiRispondeLa ricostruzione dell'infrastruttura spenta rientra nel ripristino.
Business interruption propriaRisponde con limitiLa perdita da interruzione rientra nella garanzia, ma un danno di miliardi supera la capacità di qualsiasi programma cyber.
Business interruption dipendente (fornitore)Dipende dal wordingPer i clienti di Change risponde solo se la garanzia copre fornitori non IT come un intermediario di pagamento; molte la limitano ai fornitori IT, con sottolimiti bassi e lunghi periodi di attesa.
EstorsioneRispondeUn riscatto pagato con il consenso dell'assicuratore rientra nella garanzia; la seconda richiesta pone il dubbio se sia lo stesso sinistro.
Notifica e responsabilità privacyRisponde con limitiNotifiche e assistenza rispondono, ma per 192,7 milioni di persone il costo supera di molto i limiti.
Responsabilità verso terzi e sanzioni, dove assicurabiliRisponde con limitiLa difesa nelle cause riunite risponde fino al limite; il contenzioso era ancora aperto a novembre 2025.
Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.

Esclusioni e limiti da controllare

Danno di liquidità, non di ricavi. Molte garanzie di business interruption indennizzano il margine perso, non il ritardo negli incassi subito dai clienti.
Definizione di fornitore. La business interruption dipendente può escludere i fornitori non IT.
Nessuna esclusione per attore statale: il gruppo è criminale.

La copertura reale

Limiti e assicuratori non sono pubblici. PCS ha classificato l'evento come catastrofe cyber, la categoria per danni assicurati attesi oltre 250 milioni di dollari; secondo l'OFR la maggior parte delle perdite delle imprese non era assicurata (OFR).

La lettura per chi assume il rischio

Impatto per gli assicuratoriAlto

Un solo fornitore con una quota dominante del mercato ha prodotto danni diretti per miliardi e danni da dipendenza in decine di migliaia di clienti.

Segnale di cumulo per il portafoglio.

Cumulo su un fornitore unico: circa 189.000 operatori sanitari serviti, oltre un terzo con clausola di esclusiva (OFR).

L'analisi completa →