Giám đốc điều hành của UnitedHealthcare nói về việc 'có thể một phần ba' công dân Mỹ bị ảnh hưởng bởi vụ hack gần đây

Hai tháng sau khi tin tặc xâm nhập vào hệ thống của Change Healthcare để đánh cắp và mã hóa dữ liệu của công ty, vẫn chưa rõ có bao nhiêu người Mỹ bị ảnh hưởng bởi vụ tấn công mạng.

Tháng trước, Andrew Witty, Tổng giám đốc của công ty mẹ của Change Healthcare, UnitedHealth Group, cho biết các tập tin bị đánh cắp bao gồm thông tin sức khỏe cá nhân của 'một tỷ lệ đáng kể của người dân ở Mỹ'.

Vào thứ Tư, trong một phiên điều trần tại Hạ viện, khi bị áp đặt phải đưa ra câu trả lời chính xác hơn, Witty đã khẳng định rằng vụ việt và 'Tôi nghĩ, có lẽ một phần ba [của người Mỹ] hoặc một nơi nào đó ở mức đó'.

Witty cho biết ông không muốn đưa ra một câu trả lời chính xác hơn vì công ty vẫn đang điều tra vụ việc và cố gắng xác định chính xác có bao nhiêu người bị ảnh hưởng.

Người phát ngôn của UnitedHealth, Anthony Marusic, không lập tức phản hồi yêu cầu bình luận về ước lượng của Witty.

Trong một phiên điều trần tại Thượng viện vào sáng thứ Tư, Witty cho biết sẽ mất 'vài tháng' trước khi công ty có thể bắt đầu thông báo cho các nạn nhân của vụ việc đánh cắp dữ liệu.

Trong một tuyên bố bằng văn bản được Witty gửi trước hai phiên điều trần, Tổng giám đốc viết rằng 'cho đến nay, chúng tôi chưa thấy bằng chứng về việc trộm cắp tài liệu như bảng ghi của bác sĩ hoặc toàn bộ lịch sử y tế trong dữ liệu'.

Theo lời khai của Witty, các tin tặc 'sử dụng thông tin xác thực đã bị đánh cắp để truy cập từ xa vào một cổng thông tin Citrix của Change Healthcare', mà không được bảo vệ bởi xác thực đa yếu tố, một biện pháp cơ bản về an ninh mạng mà thêm một bước phức tạp để đăng nhập vào tài khoản và hệ thống.

Nếu cổng thông tin đó đã được kích hoạt xác thực đa yếu tố, vụ việc này có thể không xảy ra. Một số thượng nghị sĩ đã thẩm vấn Witty về sự thất bại đó, hỏi ông liệu các hệ thống UnitedHealth và Change Healthcare có được bảo vệ bằng xác thực đa yếu tố hay không.

Trong phiên điều trần tại Thượng viện, Witty nói: 'Chúng tôi có một chính sách bắt buộc trên toàn tổ chức để có xác thực đa yếu tố trên tất cả các hệ thống bên ngoài của chúng tôi, điều đó đã được triển khai'.