1710138358
2024-03-08 10:00:00
カリフォルニア州サクラメントにある20人規模の診療所の3人の皮膚科医のうちの1人、マーガレット・パーソンズ氏は窮地に陥っている。
以来 2月21日のサイバー攻撃 パーソンズ氏は、以前は無名だった医療決済処理会社チェンジ・ヘルスケアについて、彼女と同僚はサービスの電子請求ができていない、と語った。
彼女は耳にした ノリディアン ヘルスケア ソリューション、カリフォルニア州のメディケア支払い処理会社は、今週初めの時点で紙の請求を受け付けていないと彼女は述べた。 そして、紙の請求では支払いが完了するまでに 3 ～ 6 か月かかる可能性があると彼女は推定しています。
「私たちはすぐに困難に陥るだろうし、非常にストレスを感じている」と彼女はKFFヘルスニュースとのインタビューで語った。
カリフォルニア州医師会の広報担当者は3月7日、メディケア・メディケイド・サービスセンターが会議でノリディアンなどの決済処理業者に紙の請求を受け入れるよう奨励することで合意したと発表した。 Noridian の広報担当者は質問を CMS に問い合わせました。
米国病院協会は、保険大手ユナイテッドヘルス・グループのオプタム部門の一部門であるチェンジ・ヘルスケアに対するランサムウェア攻撃の疑いを「米国の医療システムに対するこの種の事件としては史上最も重大かつ重大な事件」と呼んでいる。 医師の診療、病院システム、薬局が回避策を見つけるのに苦労している一方で、今回の攻撃はハッカーに対する医療システムの広範な脆弱性と、バイデン政権の対応の欠陥を露呈させている。
サイバー擁護団体「I Am The Cavalry」の共同創設者ボー・ウッズ氏によると、これまで政府は医療システムのネットワークを保護するために、より自主的な基準に頼ってきたという。 しかし、「純粋に任意で、自分の善意からこれを行うというモデルは明らかに機能していません」と彼は言う。 同氏は、連邦政府はこの問題により多くの資金を投入し、より重点を置く必要があると述べた。
危機が解決するには時間がかかるだろう。 Change 攻撃を医療システムの一部に対する他の攻撃と比較すると、「中核システムの復旧には通常、最低 30 日かかることがわかりました」と同氏は述べています。 ジョン・リギ、病院協会のサイバーセキュリティに関する国家顧問。
ユナイテッドヘルス・グループは3月7日の声明で、電子決済と医療請求に関連する2つのサービスが月内に復旧すると発表した。 「当社はこれらのシステムの復旧に取り組んでいますが、当社のプロバイダーと支払者のクライアントには、当社が確立した該当する回避策を使用することを強くお勧めします」と同社は述べた。
同社最高経営責任者（CEO）のアンドリュー・ウィッティ氏は、「われわれはできるだけ早くこの問題を解決する決意をしている」と語った。
一方、医療提供者と患者はその代償を支払っている。 重要な処方箋を調剤するために自己負担をしている人々の報告はよくあります。 独立した医師の診療は特に脆弱です。
「収入がなければ、スタッフ、備品、医療過誤保険、これらすべてをどうやって支払うことができるでしょうか?」 ニューヨーク州ロングアイランドの独立プライマリケア医師スティーブン・シセルマン氏はこう語る。 “それは不可能だ。”
フロリダ州マイアミデイド郡のジャクソン・ヘルス・システムは、停電が1カ月続いた場合、最大3000万ドルの支払いを逃す可能性があると述べた。 ミリアム・トーレス、最高収益責任者。 一部の保険会社は紙の小切手の郵送を提案しています。
が発表した救済プログラム どちらもユナイテッドヘルス そして連邦政府 医療提供者、特に病院からは批判されている。 シセルマン氏によると、オプタムは同氏の診療所に月額数十万ドルの収益があるとして、週に540ドルの融資を申し出たという。 KFFヘルスニュースがインタビューした他の医療提供者や病院も、保険会社からの提示は同様にわずかなものだったと述べた。
同社は3月7日の声明で、プロバイダーに新たな融資オプションを提供すると述べた。
プロバイダーが政府に行動を圧力をかける
Change が当初サイバーセキュリティ「問題」と呼んでいるものを最初に報告してからほぼ 2 週間後の 3 月 5 日、保健福祉省は医療提供者向けのいくつかの支援プログラムを発表しました。
推奨事項の1つは、保険会社がメディケア保険金の支払いを前払いすることだ。これはパンデミック初期に医療システムを支援したプログラムと同様だ。 しかし、医師やその他の人々は、それが病院のみを助け、独立した診療所や医療提供者を助けることにはならないのではないかと懸念している。
アンダース・ギルバーグ医師の実践を代表する医療グループ管理協会のロビイスト。 Xに投稿されました以前はTwitterとして知られていましたが、政府は「病院に提供されているのと同様の方法で、医師の診療にも早期支払いの利用可能性を拡大するよう請負業者に要求しなければならない」と主張しています。
HHSの広報担当者ジェフ・ネスビット氏は、政府は攻撃の「影響を認識」しており、「現時点でこれらの重要なプロバイダーを支援する権限を積極的に検討しており、同様の取り組みを行うために州と協力している」と述べた。 同氏は、メディケアがユナイテッドヘルス・グループに対し「医療提供者への暫定支払いについてより良い選択肢を提供する」よう求めていると述べた。
連邦政府のもう 1 つのアイデアは、プロバイダーが Change からベンダーを切り替えることを奨励することです。 シセルマン氏は、24～48時間以内に新しいベンダーを通じて保険金請求の提出を開始したいと述べた。 しかし、それは誰にとっても実行可能な解決策ではありません。
トレス氏は、医療提供者が手形交換所を変更したり、紙の請求を提出したり、支払いを早めたりするというユナイテッドヘルスや規制当局からの提案は役に立たないと述べた。
「それは非常に非現実的です」と彼女はアドバイスについて語った。 「彼らの請求処理ツールを持っているなら、できることは何もありません。」
メアリー・メイヒューフロリダ病院協会の会長は、彼女の会員はChange Healthcareに依存して洗練されたシステムを構築していると述べた。 切り替えプロセスには90日かかる可能性があり、その間はキャッシュフローがなくなると同氏は語った。 「スイッチを入れるようなものではありません。」
ネスビット氏は、清算機関の切り替えが難しいことは認めているが、「だが最優先すべきは完全な請求フローを再開することだ」と述べた。 メディケアは契約業者に指示し、保険会社にこうした変更を緩和するよう助言したと同氏は付け加えた。
州のメディケイド局長を含む医療指導者らはバイデン政権に対し、チェンジ攻撃をパンデミックと同様に扱うよう求めている。医療システムに対する脅威は非常に深刻であるため、政府の保険プログラムや規制当局に並外れた柔軟性が求められている。
金銭以外の問題は重要ですが、プロバイダーやその他の関係者は、この攻撃に関する基本的な情報が不足していると述べています。 ユナイテッドヘルス・グループと米国病院協会は、この事件について電話会談を行い、リリースを発表した。 それにもかかわらず、多くの人はまだ暗闇の中にいると感じています。
AHA の Riggi 氏は、UnitedHealth Group からのさらなる情報を求めています。 同氏は、複合企業が検証されていない情報や法執行機関を支援するためなど、一部の情報を厳重に保管するのは合理的だと述べた。 しかし、病院は自らの防御を強化するために、どのようにして侵入が行われたのかを知りたいと考えている。
「この業界は、最終的には自分たちの組織を守るために、より多くの情報を求めています」と彼は言う。
噂が広まりました。
メリーランド州の病院システム、ルミニス・ヘルスの幹部、サード・チョードリー氏は、「少々大変なことになる。誰を信じるか、いつでも選ばなければならないことになる」と、KFFヘルス・ニュースに語った。 「この泥棒たちの言うことを信じますか？ パブリックイメージに基づいてすべてを行っている組織自体が、この種のことを最小限に抑えるインセンティブを持っていると信じますか？」
次は何が起こる？
Wired Magazine は、何者かが攻撃の背後にいるとされるランサムウェア集団に 2,200 万ドルをビットコインで支払ったと報じた。 それが本当に侵害の何らかの側面を解決することを目的とした身代金だったとしたら、それはハッカーにとっては大当たりです。
サイバーセキュリティの専門家らは、攻撃を受けた一部の病院では、最低1万ドルから最高額の身代金要求に直面していると述べている。 1000万ドル。 Change ハッカーに多額の支払いがあれば、さらなる攻撃が誘発される可能性があります。
「山に金があれば、ゴールドラッシュが起こる」と彼は言った。 ジョシュ・コーマン、I Am The Cavalryのもう一人の共同創設者であり、元連邦サイバーセキュリティ当局者。
長期的には、今回の攻撃により、米国の医療システムを構成する民間企業とそれを規制する政府がサイバー脅威からどのように防御しているかという疑問が強まる。 攻撃は頻繁に行われており、ロシアや北朝鮮などの国が後援または匿っていると考えられる窃盗やハッカーが、英国の国民保健サービスやメルクなどの大手製薬会社、多数の病院のシステムをダウンさせた。
の FBIが報告した 2023 年には医療機関や公衆衛生機関に対するランサムウェア攻撃が 249 件発生しましたが、その数はさらに多いとコーマン氏は考えています。
しかし、サイバーセキュリティの専門家によると、医療システムを保護するための連邦政府の取り組みはつぎはぎのようだ。 Changeがどのようにハッキングされたのかはまだ明らかになっていないが、専門家は電子メール内のフィッシングリンクや、より特殊な経路を通じて侵害が発生する可能性があると警告している。 つまり、規制当局はあらゆる種類の製品の強化を検討する必要があるということです。
これらの防御を修復するための取り組みが遅々として進まない一例として、医療機器が挙げられます。 古いソフトウェアを搭載したデバイスは、ハッカーが病院のネットワークに侵入したり、単にその機能を低下させたりする経路を提供する可能性があります。
FDA は最近、医療機器のデジタル防御を評価し、医療機器に関する安全性に関する通知を発行する権限をさらに強化しました。 しかし、それは脆弱な機械が病院から撤去されるという意味ではありません。 製品は、サービスを停止したり交換したりするのに費用がかかるため、残存することがよくあります。
マーク・ワーナー上院議員（民主党、バージニア州）は以前、古い医療機器のサイバーセキュリティを更新する費用を病院に支払う「ポンコツに現金を」タイプのプログラムを提案したが、それは「真剣に推進されたことは一度もなかった」とワーナーの広報担当者レイチェル・コーエン氏は述べた。 リギ氏は、そのようなプログラムは、実装方法によっては意味があるかもしれないと述べた。
システムの弱点は広範囲に及んでいるが、政策立案者がすぐには気づかないことも多い。 暖房や空調システムのような平凡なものでも、病院のインターネット ネットワークに接続されていればハッキングされ、病院に侵入される可能性があります。
しかし、より多くの防御を構築するには、より多くの人員とリソースが必要ですが、それらは利用できないことがよくあります。 2017 年、ウッズとコーマンは HHS レポート ヘルスケア部門のデジタル対応状況を調査する。 研究の一環として、裕福な病院の一部にはシステムを守るための IT スタッフとリソースがあることが判明しました。しかし、大多数の病院には専任のセキュリティ スタッフがいませんでした。 コーマン氏は彼らを「ターゲットは豊富だがサイバーは貧弱」と呼んでいる。
「欲望はそこにある。 彼らは重要性を理解しています」とリジ氏は語った。 「問題は資源だ」
HHSは、業界全体にとって重要な収入源であるメディケアに病院が参加するために、最低限のサイバー防御を義務付けることを提案した。 しかしリギ氏は、AHAはそれを支持しないだろうと言う。
「私たちは資金のない任務に反対し、そのような厳しい罰則の適用に反対します」と彼は述べた。
#バイデンチームとユナイテッドヘルスサイバー攻撃後に麻痺した請求システムの復旧に奮闘