Change Healthcare, 100 milioni di notifiche: il cumulo su un unico fornitore

Il 22 ottobre 2024 Change Healthcare ha comunicato circa 100 milioni di notifiche per l'attacco di febbraio; il conteggio finale è 192,7 milioni. L'analisi: concentrazione, interruzione per dipendenza, notifiche, riscatto e domande per i rinnovi.

Archivio: ricostruzione scritta a novembre 2026

Tema del mese di ottobre 2024 · di cybercoverinsurance

Il 22 ottobre 2024 Change Healthcare ha comunicato all'autorità sanitaria statunitense di aver inviato circa 100 milioni di notifiche individuali per il furto di dati dell'attacco ransomware di febbraio. Era la prima cifra ufficiale. Il 31 luglio 2025 il conteggio finale è arrivato a 192,7 milioni di persone. Pochi giorni prima della notifica, la controllante UnitedHealth Group aveva portato a circa 2,87 miliardi di dollari la stima dei costi dell'attacco per il solo 2024.

Change Healthcare è il caso di scuola del cumulo su un unico fornitore. Un'azienda poco nota al pubblico gestiva una quota enorme dei pagamenti sanitari degli Stati Uniti. Quando si è fermata, decine di migliaia di medici, ospedali e farmacie hanno perso liquidità senza essere stati violati. Per chi assume il rischio cyber, il caso mette alla prova tre garanzie insieme: la responsabilità per i dati, la business interruption dell'assicurato colpito e quella, molto più diffusa, dei suoi clienti.

Cosa si sa

L'attacco. Gli attaccanti sono entrati con credenziali rubate in un portale di accesso remoto Citrix privo di autenticazione a più fattori. Hanno sottratto circa 6 TB di dati e cifrato i sistemi, e l'azienda ha spento la propria infrastruttura (BleepingComputer). L'accesso risale al 12 febbraio 2024, l'attacco è stato scoperto il 21 febbraio. Optum, la società del gruppo da cui dipende Change, ha pagato un riscatto di 22 milioni di dollari al gruppo BlackCat (ALPHV) (Nixon Peabody). BlackCat è sparito trattenendo l'intero importo. L'affiliato che aveva condotto l'attacco è passato a RansomHub e ha chiesto un secondo pagamento (BleepingComputer).

I dati. Il furto comprende dati assicurativi, diagnosi, farmaci, esiti di esami e immagini, dati di fatturazione e pagamento, numeri di previdenza sociale e documenti di identità (BleepingComputer). La stima è salita da 100 milioni (ottobre 2024) a 190 milioni fino a 192,7 milioni (luglio 2025). Change ha avvertito che la cifra finale può essere leggermente sovrastimata, perché non è stato possibile eliminare tutti i doppioni (HIPAA Journal).

La concentrazione. Secondo l'Office of Financial Research del Tesoro statunitense, Change gestisce circa 2.000 miliardi di dollari di richieste di rimborso mediche all'anno, una quota stimata nel 44% dei flussi del sistema sanitario. Tocca una cartella clinica su tre e serve circa 189.000 operatori sanitari. Oltre un terzo dei clienti aveva contratti con clausola di esclusiva (OFR).

I costi. UnitedHealth ha indicato 872 milioni di dollari di perdite ad aprile 2024 e, a ottobre, una stima di circa 2,87 miliardi per l'intero 2024, tra costi di risposta e perdite da interruzione (Healthcare Innovation). Optum ha anticipato agli operatori circa 9 miliardi di dollari tramite un programma di assistenza finanziaria temporanea. Ad aprile 2025 ne aveva recuperati circa 3,2 (HIPAA Journal).

Gli sviluppi successivi. Le cause sono state riunite in un procedimento federale in Minnesota. Gli operatori sanitari contestano anche le condizioni di restituzione degli anticipi. Lo Stato del Nebraska ha fatto causa a dicembre 2024 e a novembre 2025 il giudice ha respinto la richiesta di archiviazione (HIPAA Journal). A novembre 2025 l'autorità sanitaria federale (OCR) non aveva ancora annunciato esiti della propria indagine (Nixon Peabody).

Il fornitore che nessuno può sostituire

Un nodo con il 44% dei flussi non ha alternative pronte. L'OFR osserva che alcuni pagatori non avevano un sistema di pagamento di riserva e che le clausole di esclusiva impedivano ad altri intermediari di collegarsi. Change ha poi rinunciato alle esclusive, ma cambiare intermediario richiede tempo e costi. Per settimane, per molti operatori non esisteva un piano B.

Il danno ai clienti è stato soprattutto di liquidità. Secondo un'indagine dell'American Hospital Association citata dall'OFR, il 94% degli ospedali ha subito un impatto finanziario e oltre la metà lo ha definito significativo o grave. Il 55% dei medici ha usato fondi personali per coprire le spese dello studio. Per un piccolo operatore, il problema non era perdere ricavi, ma incassarli con mesi di ritardo.

La perdita di liquidità non è una perdita di ricavi. Molte garanzie di business interruption indennizzano il margine perso, non il ritardo negli incassi. Un ricavo che arriva con tre mesi di ritardo può non generare alcun indennizzo, anche se ha messo l'assicurato in difficoltà. Gli interessi passivi su prestiti ponte sono un costo straordinario solo se la polizza lo prevede.

Le tre polizze in gioco

La polizza di Change risponde per il proprio danno e la propria responsabilità. Costi di risposta, notifiche a 192,7 milioni di persone, perdite da interruzione e difesa nelle cause. Un evento da miliardi supera di gran lunga la capacità di qualsiasi programma cyber. Il grosso resta in carico al gruppo.

Le polizze dei clienti rispondono solo con la garanzia di interruzione per dipendenza. Medici, ospedali e farmacie non sono stati violati. Il loro danno nasce dal fermo di un fornitore. Secondo Kirsten Bay, CEO di Cysurance, intervistata a luglio 2024, molte organizzazioni avrebbero presentato richieste per business interruption da dipendenza, anche piccole, e la garanzia sarebbe diventata più restrittiva (TechTarget). Molte polizze limitano questa garanzia ai fornitori IT, con sottolimiti bassi e franchigie temporali lunghe. Un intermediario di pagamenti sanitari può non rientrare nella definizione.

L'evento è stato classificato come catastrofe cyber. L'OFR riporta che PCS lo ha classificato come catastrofe cyber, la categoria per eventi con danni assicurati attesi oltre 250 milioni di dollari. È stato il secondo evento a ricevere questa classificazione. L'OFR aggiunge che la maggior parte delle perdite delle imprese non era assicurata.

Notifiche e responsabilità: il costo che cresce nel tempo

Il numero di persone si è quasi raddoppiato in nove mesi. Da 100 a 192,7 milioni. Ogni revisione ha aumentato i costi di notifica e assistenza e la platea dei possibili ricorrenti. Una riserva fissata a ottobre 2024 sarebbe stata sottostimata.

La delega delle notifiche sposta il costo, non il rischio. A maggio 2024 l'autorità federale ha chiarito che gli operatori sanitari potevano delegare a Change gli obblighi di notifica (Nixon Peabody). Ha evitato milioni di comunicazioni duplicate. Ma ogni operatore restava tenuto a valutare la propria posizione, e una notifica fatta male da un terzo può comunque ricadere sul titolare dei dati.

Il contenzioso dura anni. A quasi due anni dall'attacco, il procedimento federale non risultava chiuso e la causa del Nebraska era appena passata il primo filtro. Per chi assume il rischio, i sinistri di responsabilità da furto di dati sanitari hanno una coda lunga, e le spese di difesa corrono prima di qualsiasi accordo.

Un riscatto pagato, un'estorsione non finita

Il pagamento non ha comprato la cancellazione dei dati. Optum ha pagato 22 milioni di dollari. BlackCat ha trattenuto l'intero importo e l'affiliato ha portato i dati a un altro gruppo. Il caso dimostra che un riscatto non garantisce né la cancellazione né la fine dell'estorsione.

Per la polizza, la domanda è chi decide. Le garanzie di estorsione richiedono di norma il consenso dell'assicuratore e la verifica delle sanzioni. Un secondo pagamento richiesto da un attore diverso, con gli stessi dati, è un nuovo sinistro o lo stesso? Le wording raramente lo dicono in modo chiaro.

Cosa portare nei rinnovi

Impatto per gli assicuratoriAlto

Un solo fornitore con una quota dominante del mercato ha prodotto danni diretti per miliardi e danni da dipendenza in decine di migliaia di clienti.

Sul lato portafoglio, il caso Change chiede di mappare non solo i fornitori cloud comuni, ma anche gli intermediari di settore: pagamenti sanitari, gestionali per concessionari, piattaforme di prenotazione. Se una quota ampia degli assicurati di un settore dipende da un solo nodo, il cumulo va trattato con scenari e limiti dedicati.