Perusahaan Asuransi Ini Bayar Uang Tebusan Ransomware Rp 365 Miliar

Perusahaan asuransi kesehatan asal Amerika Serikat UnitedHealth mengaku membayar uang tebusan mencapai USD 22 juta atau sekitar Rp 365 miliar ke BlackCat.

Hal ini diakui oleh CEO UnitedHealth Andrew Witty saat dipanggil oleh Senat AS. Keputusan membayar uang tebusan itu menurut Witty sepenuhnya menjadi tanggung jawabnya.

"Ini adalah salah satu keputusan terberat yang harus saya ambil," kata Witty pada Senate Committee on Finance AS, seperti dikutip detikINET dari The Verge, Kamis (2/4/2024).

Sebenarnya UnitedHealth sudah mengakui kalau mereka membayar uang tebusan ke hacker yang menjebol sistem Change Healthcare miliknya, namun saat itu mereka tak menyebutkan jumlah uang yang dibayarkan.

Maret 2024 lalu mereka mengakui kalau ransomware tersebut berasal dari geng ransomware BlackCat, yang juga ada di balik serangan ransomware ke sejumlah kasino milik MGM di Las Vegas.

BlackCat sebelumnya pernah mengaku sukses mencuri data lebih dari 6 TB dari aksi ransomwarenya sejak Februari. Di dalamnya termasuk data-data medis dari UnitedHealth.

Witty pun mengakui kalau serangan ransomware itu bisa terjadi karena mereka tak menggunakan satu fitur sederhana yang sangat penting, yaitu multifactor authentication (MFA).

"Pelaku menggunakan kredensial yang bocor untuk mengakses portal Change Healtcare Citrix, aplikasi yang dipakai untuk melakukan akses remote ke desktop," kata Witty, yang kemudian mengakui kalau portal tersebut tak dilengkapi MFA.

Akibat tak menggunakan MFA, dampaknya sangat besar bagi banyak pihak. Setelah mengetahui adanya penyusupan tersebut, UnitedHealth mematikan sistem Change Healthcare selama seminggu. Dampaknya adalah rumah sakit, klinik, dan apotek di seluruh Amerika tidak bisa menerima pembayaran dari UnitedHealth.

Witty mengakui sistemnya saat ini sudah sudah mulai normal, dan pihaknya sudah menerapkan penggunaan MFA di sistem tersebut. Namun sejumlah senator menyebutkan masih banyak rumah sakit yang menunggu pembayaran klaim asuransi.

"Peretasan ini seharusnya bisa dihentikan dengan cybersecurity 101 (cara paling dasar). Semestinya tak perlu menunggu sampai serangna siber terburuk di sektor kesehatan untuk menerapkan hal minimal ini," kata Senator Ron Wyden.

Sebagai informasi, UnitedHealth adalah perusahaan asuransi yang sangat besar di AS. Mereka mengurus satu dari tiga pasien asuransi di AS, dan satu dari 10 dokter di seluruh AS.