Caso público de crisis de ciberseguridad · 2024
Change Healthcare: una dependencia digital, múltiples consecuencias operativas
El caso separa tres dimensiones que suelen confundirse: restablecimiento de servicios, personas afectadas por la brecha e impacto económico. Cada una tiene su propia medida y su propia fecha.
Análisis de un incidente público, no una referencia de cliente de CyberUP. Declaraciones, documentos e interpretación operativa.
En síntesis
Tres medidas. Sin sumas improcedentes.
Costes directos de respuesta
Ejercicio 2024; partida distinta de los menores ingresos. [2]
Menores ingresos por la interrupción
Impacto en Optum Insight durante 2024, según los resultados publicados. [2]
Personas afectadas
Dato comunicado a OCR el 31 de julio de 2025; no es el número de notificaciones. [3]
Las cifras y fechas corresponden a las fuentes indicadas. No son resultados de un ejercicio de CyberUP.
Qué está documentado
Hechos y alcance.
Acceso y respuesta según el testimonio
En la audiencia del 1 de mayo de 2024, UnitedHealth Group describe un portal Citrix sin autenticación multifactor, movimientos laterales y sustracción de datos. El relato distingue el acceso inicial del ataque de ransomware, nueve días después. Entre las prioridades de recuperación señala las farmacias, los pagos y las solicitudes de reembolso; también refiere alternativas de tramitación y apoyo financiero a los proveedores sanitarios. [1]
Costes y personas: qué miden las cifras
Los resultados de 2024 mantienen separados los gastos de respuesta y el impacto en los ingresos. La financiación y los anticipos a proveedores sanitarios no son una tercera partida que deba sumarse al daño. Las preguntas frecuentes de HHS distinguen, además, las personas afectadas de las cartas enviadas: la cifra anterior de 190 millones corresponde a una actualización de enero de 2025, no al último dato de la FAQ consultada. [2] [3]
Fechas del caso
La cronología documentada.
El alcance del proveedor no coincide con el del servicio
Para una simulación de preparación proponemos partir del servicio que debe continuar, no del inventario de sistemas propios. Una organización puede depender de un intermediario sin controlar su recuperación: su ejercicio debe incluir, por tanto, alternativas, capacidad disponible e interlocutores externos.
La pregunta útil para Operaciones es: ¿qué flujos podemos mantener mediante alternativas y qué carga pueden soportar? Para Finanzas: ¿qué exposición genera la ralentización de cobros o pagos? Para quienes gestionan los datos: ¿qué información se necesita para delimitar la población afectada? No existe una respuesta única para todas las organizaciones.
Un ejercicio puede facilitar actualizaciones distintas a cada función y pedir al equipo de crisis que las integre. La conectividad podría recuperarse antes de conciliar las operaciones pendientes; el recuento de personas podría cambiar una vez iniciadas las comunicaciones. El objetivo es comprobar cómo se validan y comunican estas diferencias.
La propuesta no implica que los proveedores sanitarios del caso tuvieran o no estas capacidades. Permite comprobar, dentro del programa del participante, la relación entre disponibilidad técnica, continuidad del servicio y gestión de las consecuencias.
Del caso a la preparación
Tres preguntas para poner a prueba la respuesta.
Propuestas de ejercicio para el contexto de su organización. No describen actividades realizadas por CyberUP para la entidad analizada.
¿Qué dependencia queda fuera de nuestro control?
Identifique un servicio externo esencial y una alternativa operativa. Compruebe su capacidad, quién la gestiona y qué información se necesita para activarla.
¿Qué significa «restablecido»?
Distinga la reapertura del canal, la tramitación de pendientes y la conciliación. No utilice un único estado para condiciones diferentes.
¿Quién controla las cifras que se actualizan?
Asigne responsables a las métricas económicas y a las relativas a los datos. Cada cambio debe ser trazable, sin borrar el alcance de la versión anterior.
Trazabilidad
Fuentes y contenidos relacionados.
Las fechas de las fuentes y el periodo analizado son distintos de la fecha de revisión de esta página. Las interpretaciones de CyberUP se identifican como tales; las fuentes externas no implican respaldo ni relaciones comerciales.
- UnitedHealth Group · Cámara de Representantes de Estados Unidos · 1 de mayo de 2024
Testimonio escrito de Andrew Witty (se abre en una pestaña nueva)Testimonio primario · PDF. Páginas 4–9 del PDF: acceso, respuesta, recuperación y apoyo a proveedores sanitarios. Relato de la empresa a fecha de la audiencia. - UnitedHealth Group · 16 de enero de 2025
Resultados del ejercicio 2024 (se abre en una pestaña nueva)Resultados corporativos primarios · PDF. Página 12 del PDF: tabla anual y notas sobre los gastos de respuesta y los menores ingresos. - HHS · Office for Civil Rights · Revisión del 13 de agosto de 2025
Change Healthcare: preguntas frecuentes, pregunta 11 (se abre en una pestaña nueva)Fuente institucional primaria. Número de personas afectadas comunicado a OCR el 31 de julio de 2025. Distingue personas y notificaciones.