Em 12 de fevereiro de 2024, criminosos conseguiram acessar a infraestrutura da Change Healthcare, empresa do grupo UnitedHealth responsável por processar transações essenciais para o sistema de saúde dos Estados Unidos.

O acesso ocorreu por meio de credenciais comprometidas em um portal remoto que não exigia autenticação multifator (MFA).

Durante os nove dias seguintes, os invasores permaneceram no ambiente, realizaram movimentações laterais e tiveram acesso a informações sensíveis. 

A intrusão só foi identificada em 21 de fevereiro, quando o ransomware foi implantado e a empresa iniciou medidas emergenciais de contenção.

O resultado foi uma crise de grandes proporções: interrupções no processamento de pagamentos e solicitações médicas, dificuldades na dispensação de medicamentos e exposição de informações pessoais e de saúde de aproximadamente 192,7 milhões de pessoas.

O caso evidencia uma questão crítica para a segurança corporativa: o intervalo entre o acesso indevido e sua identificação pode determinar a extensão do comprometimento e a capacidade de resposta da organização.

Como aconteceu o ataque à Change Healthcare?

A Change Healthcare desempenhava uma função estratégica na infraestrutura de saúde norte-americana, intermediando operações entre hospitais, clínicas, farmácias, seguradoras e outros prestadores de serviços.

Sua plataforma participava de processos como autorização de procedimentos, faturamento, processamento de solicitações de reembolso e transações relacionadas a prescrições médicas.

Essa concentração de serviços tornou o comprometimento especialmente grave, porque milhares de organizações dependiam de sistemas operados pela empresa.

O ataque foi associado ao grupo de ransomware ALPHV/BlackCat, conhecido por operações de extorsão envolvendo criptografia de sistemas e roubo de informações.

Segundo depoimento de Andrew Witty, então CEO da UnitedHealth Group, ao Congresso norte-americano, os criminosos utilizaram credenciais comprometidas para acessar um portal Citrix de conexão remota.

O ponto decisivo foi a ausência de MFA naquele acesso. Com as credenciais em mãos, os invasores conseguiram entrar no ambiente sem precisar superar uma segunda etapa de autenticação.

A cronologia dos nove dias

• 12 de fevereiro de 2024 | Acesso inicial: Credenciais comprometidas permitiram a entrada dos invasores em um portal remoto sem MFA.

• 12 a 20 de fevereiro | Permanência e movimentação lateral: Os criminosos avançaram pelo ambiente e tiveram acesso a dados sensíveis. O grupo ALPHV/BlackCat alegou posteriormente ter extraído aproximadamente 6 TB de informações.

• 21 de fevereiro | Detecção e contenção: A implantação do ransomware levou à identificação do comprometimento. A empresa desconectou sistemas para conter o incidente.

• Março e abril | Resgate e nova extorsão: A UnitedHealth confirmou o pagamento de US$ 22 milhões. Posteriormente, o grupo RansomHub alegou possuir parte dos dados e exigiu um novo pagamento.

• Julho de 2025 | Atualização do alcance: O número de pessoas afetadas informado ao HHS chegou a aproximadamente 192,7 milhões.

A estimativa de 6 TB corresponde à alegação divulgada pelo grupo criminoso e não deve ser tratada como volume independentemente confirmado. 

A tentativa posterior de extorsão pelo RansomHub também foi documentada, embora as alegações do grupo sobre a posse e o volume dos dados tenham exigido investigação.

O impacto: hospitais, clínicas e farmácias com serviços interrompidos

Quando a invasão foi identificada, a Change Healthcare precisou desconectar mais de 100 plataformas tecnológicas para conter o comprometimento.

A medida de contenção afetou processos fundamentais para o funcionamento do setor de saúde.

Hospitais e clínicas enfrentaram dificuldades para processar solicitações de reembolso e receber pagamentos. 

Farmácias precisaram adotar procedimentos alternativos para determinadas transações, enquanto pacientes encontraram obstáculos para obter medicamentos e acessar serviços.

O incidente também expôs a dependência de fornecedores tecnológicos compartilhados por diferentes organizações. 

Mesmo instituições que não tiveram seus próprios sistemas diretamente comprometidos sofreram consequências operacionais devido à indisponibilidade da infraestrutura da Change Healthcare.

A American Hospital Association classificou o episódio como um dos ataques cibernéticos de maior consequência já registrados no sistema de saúde norte-americano.

O pagamento do resgate não encerrou a exposição

A UnitedHealth confirmou o pagamento de US$ 22 milhões aos criminosos responsáveis pelo ataque.

Entretanto, o pagamento não eliminou o risco associado aos dados comprometidos.

Posteriormente, o grupo RansomHub afirmou possuir informações extraídas da Change Healthcare e iniciou uma nova tentativa de extorsão, ameaçando divulgar ou comercializar o material.

O episódio demonstra a dificuldade de assegurar a eliminação de informações que já foram copiadas por agentes maliciosos. 

Uma vez exfiltrados, os dados podem permanecer disponíveis para novas tentativas de extorsão, fraudes e outros usos indevidos.

Por isso, a resposta a um incidente precisa considerar tanto a recuperação dos sistemas quanto a investigação do acesso, a extensão do comprometimento e a proteção das informações afetadas.

Por que o tempo de detecção é tão importante em um ataque de ransomware?

Um dos principais aprendizados do caso Change Healthcare está no período de permanência dos invasores dentro da infraestrutura.

Em operações de ransomware, o comprometimento pode começar muito antes da criptografia dos sistemas.

Após obter acesso inicial, o atacante pode investigar a rede, identificar contas privilegiadas, mapear servidores, buscar informações confidenciais e explorar conexões entre diferentes ambientes.

Esse intervalo é conhecido como dwell time, ou tempo de permanência do invasor.

Quanto maior esse período, maiores podem ser as oportunidades para ampliar privilégios, alcançar aplicações críticas, comprometer credenciais e identificar repositórios de backup.

Entretanto, o tempo de permanência isoladamente não determina a gravidade do ataque. 

O alcance depende também das permissões disponíveis, da segmentação da rede, das vulnerabilidades existentes e dos controles de segurança implementados.

O desafio para as empresas é reduzir o tempo necessário para identificar comportamentos suspeitos e iniciar uma resposta eficaz.

O risco também pode alcançar os backups

Durante uma invasão prolongada, criminosos podem tentar localizar e comprometer mecanismos de recuperação, incluindo servidores de backup, consoles de administração e credenciais com privilégios elevados.

O objetivo pode ser excluir cópias, modificar políticas de retenção, desabilitar tarefas ou dificultar a restauração após a implantação do ransomware.

A existência de backups protegidos, segregados e imutáveis ajuda a limitar essas possibilidades. 

Ainda assim, a recuperação depende de controles de acesso, integridade das cópias, disponibilidade da infraestrutura necessária e testes periódicos de restauração.

No caso Change Healthcare, não há evidência apresentada aqui de que os invasores tenham comprometido especificamente os backups da empresa. 

Esse é um risco técnico associado à permanência prolongada em ambientes corporativos, e merece ser considerado na análise de segurança.

MFA, monitoramento ativo e pentest: três controles para reduzir a exposição

A análise do incidente permite identificar três frentes de proteção que devem integrar uma estratégia corporativa de cybersegurança.

1. MFA: fortalecer a proteção contra o uso indevido de credenciais

A autenticação multifator acrescenta uma etapa de verificação ao processo de acesso, dificultando que uma credencial comprometida seja suficiente para autenticar um invasor.

Sua aplicação deve priorizar acessos remotos, contas administrativas, sistemas críticos e ambientes que armazenam informações sensíveis.

Também é necessário revisar exceções, contas legadas, autenticações de serviço e aplicações que ainda permitem acesso apenas com usuário e senha.

A ausência de MFA no portal utilizado pelos criminosos foi uma das falhas centrais identificadas no caso Change Healthcare.

Embora não elimine todas as possibilidades de comprometimento, especialmente diante de ataques de phishing avançado e sequestro de sessões, o MFA reduz a exposição associada ao roubo de credenciais.

2. Monitoramento ativo: identificar atividades suspeitas antes que o ataque avance

O monitoramento de segurança permite acompanhar eventos relevantes na infraestrutura e identificar indícios de comportamento malicioso.

Entre os sinais que merecem atenção estão autenticações atípicas, alterações inesperadas de privilégios, movimentações laterais, acessos incomuns a servidores e transferências anormais de dados.

Para que esse monitoramento seja efetivo, é necessário combinar coleta de logs, correlação de eventos, critérios de priorização e procedimentos definidos de investigação e resposta.

Também é fundamental estabelecer responsabilidades claras sobre a análise dos alertas e os mecanismos de escalonamento de incidentes.

Um ambiente que gera alertas, mas não dispõe de capacidade adequada para investigá-los, pode continuar exposto por períodos prolongados.

Dois indicadores ajudam a avaliar essa capacidade: o tempo médio de detecção (MTTD) e o tempo médio de resposta (MTTR). 

Ambos devem ser acompanhados conforme a criticidade dos incidentes e os objetivos de segurança da organização.

3. Pentest: identificar caminhos de exploração antes dos criminosos

O teste de intrusão, ou pentest, consiste em uma avaliação controlada da segurança de sistemas, aplicações e infraestrutura.

Seu objetivo é identificar e validar vulnerabilidades que possam ser exploradas por agentes maliciosos, demonstrando os riscos associados às falhas encontradas.

Em ambientes corporativos, um pentest pode avaliar exposições em serviços remotos, configurações inadequadas, falhas de autenticação, possibilidades de escalonamento de privilégios e caminhos de movimentação lateral, conforme o escopo contratado.

Os resultados oferecem informações para priorizar correções com base na possibilidade de exploração e no impacto potencial sobre a operação.

O pentest deve ser realizado periodicamente e após mudanças relevantes na infraestrutura, especialmente quando envolvem novos sistemas, integrações ou mecanismos de acesso.

O que as empresas devem revisar após o caso Change Healthcare?

O episódio demonstra que a avaliação da segurança corporativa precisa considerar a trajetória completa de um ataque, desde a tentativa inicial de acesso até a capacidade de contenção e recuperação.

Para lideranças de tecnologia e segurança, algumas verificações merecem prioridade:

Autenticação e acessos: identificar sistemas sem MFA, contas privilegiadas e mecanismos de acesso remoto que necessitam de controles adicionais.

Visibilidade da infraestrutura: verificar se eventos relevantes são registrados, correlacionados e analisados em tempo adequado.

Superfície de ataque: realizar avaliações periódicas para identificar vulnerabilidades e caminhos de exploração.

Resposta a incidentes: estabelecer procedimentos de investigação, isolamento, comunicação e recuperação, com responsáveis definidos.

Proteção dos backups: avaliar segregação, imutabilidade, permissões administrativas e capacidade comprovada de restauração.

Dependência de terceiros: mapear fornecedores críticos e os impactos que sua indisponibilidade pode provocar sobre processos essenciais.

Essas verificações ajudam a direcionar investimentos e estabelecer prioridades com base na exposição real da organização.

Como a Penso pode apoiar a proteção da infraestrutura corporativa?

O caso Change Healthcare reforça a necessidade de integrar controles preventivos, capacidade de detecção e processos de resposta.

A Penso apoia empresas na avaliação e no fortalecimento da segurança de seus ambientes, considerando a criticidade dos sistemas e os riscos associados à operação.

Entre as frentes que podem compor essa estratégia estão o monitoramento ativo de segurança, os testes de intrusão e a implementação de mecanismos de autenticação multifator.

O monitoramento contribui para identificar atividades suspeitas e direcionar investigações. O pentest permite avaliar vulnerabilidades e oportunidades de exploração. Já o MFA fortalece o controle de acesso a sistemas e recursos corporativos.

A combinação desses mecanismos, associada a políticas de segurança, gestão de privilégios e procedimentos de resposta, contribui para reduzir a exposição e melhorar a capacidade de reação diante de incidentes.

A experiência da Change Healthcare demonstra como uma falha inicial de autenticação, associada a um período prolongado sem detecção, pode resultar em consequências que ultrapassam os limites da infraestrutura comprometida.

Identificar e conter uma invasão antes que ela alcance sistemas críticos deve ser uma prioridade mensurável na estratégia de cybersegurança.

Fale com os especialistas da Penso e conheça as possibilidades de monitoramento ativo, pentest e autenticação multifator para o ambiente da sua empresa.

Penso, a gente resolve.