美国医疗行业出现大问题
灾难性的黑客攻击

插图来源：NICOLAS ORTEGA

联合健康集团 (UnitedHealth Group)

第 4 位

腾空而起

1995年，联合健康集团以38亿美元的年收入首次登上《财富》美国500强，排名第303位，这也是服务公司上榜的第一年。这家总部位于美国明尼苏达州的健康保险公司通过并购及其对健康服务的推动进行了转型，现在的收入是这一数字的近100倍。

今年3月初的一天，位于美国纽约州约克维尔市的Function Better诊所的老板乔·马丁（Joe Martin）无意间看了一眼自己的银行账户，他简直不敢相信自己的眼睛，还以为自己的账户被人黑掉了。马丁是一名骨科临床医生，行医已经超过22年了，他对自己诊所每周的收入情况了如指掌。难怪当他发现自己的银行账户几乎亏空殆尽时会如此的惊恐。

事实上，马丁的账户没有被黑，但是一家名叫Change Healthcare的公司确实被黑了。而且这家公司常年负责处理全美三分之一到一半的医保报销申请，这其中也包括马丁的Function Better诊所提交的医保报销申请。Change Healthcare每年处理的医保账单高达1.5万亿美元。另外，就在今年2月，美国的联合健康集团（UnitedHealth Group）的一家子公司也遭到了勒索软件的攻击，此案被称为“美国医保系统史上最严重、影响最恶劣的网络攻击事件”，而且几乎对全行业的每一个角落都造成了影响。

由于连续几周没有医保报销入账，马丁的诊所变得难以为继，甚至他已经请了一名破产律师。不过等到我们在3月中旬采访到他的时候，他已经想出了一个度过难关的办法。马丁在美国佛罗里达州还有一家诊所，而且这家诊所只接受医保（Medicare）和现金支付，因此并不完全依赖于医保理赔。“在过去四周里，我有好几次都拎着一大包现金上飞机，好让我的员工能够拿到工资。”

而在全美范围内，与马丁有相同遭遇的医疗从业者多达数万人——其中既有《财富》美国500强级别的大企业，也有夫妻店式的小诊所，从而可以一窥此次网络袭击事件的烈度。今年3月，美国有74%的医院报告称，网络攻击事件直接影响了患者的治疗，94%的医院表示网络袭击事件给它们造成了经济影响。今年4月，美国医学协会（American Medical Association）的一项调查发现，有36%的诊所报称医保报销支付骤然归零，还有32%的诊所报称它们无法提交报销申请。

医保支付公司Nomi Health的联合创始人及首席技术官博·哈特曼（Boe Hartman）形容道：“美国医疗行业的商业活动就这样突然停止了。”受到网络攻击的影响，该公司的医保报销和支付流程同样被冻结了。

就连行业巨头也未能幸免。美国最大的营利性连锁医院HCA Healthcare同样高度依赖Change Healthcare的医保报销系统。美国的第六大公司CVS Health（联合健康集团的主要竞争者）也有四分之一的医保报销是通过Change Healthcare进行的。信诺（Cigna）和Elevance等大型保险公司也承认，它们的医保报销流程同样受到了严重影响。美国军方的药房网络也高度依赖Change Healthcare。作为美国最大的医保客户，美国联邦政府自身的很多交易也是通过Change Healthcare进行的。另外，自2013年以来，Change Healthcare还是CommonWell Health Alliance的指定交易平台，该机构每月处理的病人病历信息超过2.5亿份（例如，加利福尼亚州的一位医生能够通过该平台，查看你在得克萨斯州拍的X光片）。换句话说，在当今美国的医疗保健生态下，不管你是病人、医院还是保险公司，你都很难不直接或者间接地与Change Healthcare公司打交道。

这次网络攻击不仅给医疗机构带来了巨大的财务风险，[当卫生工作者在此类袭击中无法访问他们的电子系统和对时间敏感的患者数据时——就像他们越来越频繁地做的那样（2023年有141家医院受到袭击）]同时也给患者的健康乃至生命安全造成了重大的隐患。与此同时，大量被盗的公民健康信息被挂在暗网上出售，也加大了这些患者被敲诈勒索和诈骗的风险。

三个多月过后，美国的医疗保健体系尚未从这起袭击事件中彻底恢复元气。包括马丁的诊所在内的很多医疗机构仍然在艰难挣扎求生。而Function Better这样的公司也只拿到了一小部分的医保报销金额，并且这部分金额还不是通过Change Healthcare公司获得的，而要多亏了一些小公司的自力更生。这些公司在医保门户网站上一行一行地手敲报销单据，“就像20世纪80年代一样。”

马丁表示，自从他“上家的上家”，也就是Change Healthcare遭遇网络袭击之后，接连几周的混乱和业务中断简直是一场“灾难”，虽然他自己都没有意识到，他对Change Healthcare的依赖竟然有这么深。

今年5月初，联合健康集团的首席执行官安德鲁·威蒂（Andrew Witty）在美国国会作证时，对所有受网络袭击影响的机构与个人表达了歉意和支持。他同时坦承，他的公司依旧在调查是否有“相当一部分的美国人”（具体地说是三分之一）的个人健康信息已经泄露。威蒂表示，联合健康集团需要几周甚至几个月才可以给出一个完整的统计，并对受影响的人员进行提醒。目前，联合健康集团已经为相关人员提供了为期两年的免费信用监测和防盗保护。不过俄勒冈州的民主党参议员罗恩·怀登（Ron Wyden）认为，这些所谓的服务纯属“马后炮”，没有任何意义。

今年，联合健康集团因为网络攻击而造成的直接损失预计将达到16亿美元，但这个数字对于一家2023年全年营收高达3,720亿美元的公司来说，只不过是九牛一毛。国会两党也没有轻易放过这件事情，他们在听证会上向威蒂轮番发难——你知不知道，就因为你，有多少病人连续几周吃不上救命药，有多少乡村医院负债数千万美元？他们都想知道，像联合健康集团这样一家财大气粗且背靠大树好乘凉的公司，何以会在黑客面前表现得如此不堪一击？而且为什么一家公司的安全问题，就能够威胁到整个美国的医疗系统？

有很多人认为，今年2月发生在美国的这次网络袭击事件，充分展现了高度碎片化和正在快速一体化的美国医疗保健生态系统的脆弱性。同时也表明，在医疗保健经济、监管和技术变革等多方力量的影响下，美国的独立医疗服务提供商要想在竞争中求生存，难度只会越来越大。

从技术上来看，Change Health-care公司遭遇的这起网络袭击事件并没有什么离奇之处。这只是一次普通的勒索软件攻击事件，在美国早已屡见不鲜—仅2023年一年，美国联邦调查局（FBI）就立案受理了全美重要基础设施遭受的1,193起网络攻击事件，其中有249起发生在医保领域。有报道称，俄罗斯的一个名叫ALPHV/Blackcat的黑客组织至少应该对这1,193起事件里的100多起负责。今年2月12日，有黑客以一种典型的方式，侵了入Change Healthcare公司的系统——即使用已经泄露的验证信息，比如黑客从暗网上买来的一串密码。在接下来的九天内，黑客在Change Healthcare的运行环境里四处游荡，如入无人之境，大肆窃取数据，并对系统进行加密，然后才启动了勒索软件。这批黑客显然是发现了联合健康集团的致命弱点——服务器缺乏多重身份验证手段的保护。

威蒂是在一次董事会的会议上得知这一漏洞的。随后他的团队向美国联邦调查局报了警，并在当日的晚些时候向美国证券交易委员会（SEC）表示，怀疑此事与“某个民族国家”有关。与此同时，很多依赖Change Healthcare的医疗保健机构对服务中断的严重性仍旧一无所知。尽管联合健康集团请来了一群网络安全精英和技术大牛，但他们最终还是向黑客支付了价值2,200万美元的比特币（Bitcoin）作为赎金。而且该公司的官网连续八天都挂着一条含糊其辞且令人费解的安慰性说明：“预计服务中断至少会持续到今天结束。”

关于此次破坏的具体规模，目前依然没有全面且可靠的数据。很多棘手的问题也仍然没有答案。例如，这么重要的系统，为何防御如此薄弱？有多少人的健康数据被泄露？黑客是否会出售这些数据来进一步牟利？

Change Healthcare 原本是一家名不见经传的技术公司，但它却为何可以撬动价值4.5万亿美元的美国医疗产业，并且扮演着如此巨大而关键的角色？2022年，Change Healthcare公司被联合健康集团叫价130亿美元收购。联合健康集团的市值高达3,720亿美元，它下面有一个市值达到2,270亿美元的医疗服务福利部门Optum，Optum下面有一个市值320亿美元的数据分析部门Optum Insight，而Change Healthcare正是被整合进了Optum Insight之中。你一定见过俄罗斯套娃吧？Change Healthcare就是那个最小、最里面的套娃，也是联合健康集团的子公司的子公司的子公司。

所以，当联合健康集团关闭Change Healthcare的系统之后，全美各地的医疗保健机构迎来了一场史无前例的大混乱——药房交易受阻，计算机系统瘫痪，行政管理和支付系统也被迫中断。这种情况让受影响的医疗机构感到十分无力，很多医疗机构又捡起了劳动密集型的工作方法（比如打电话、发传真、邮寄纸质报销单），有的财政窘迫，被逼入了生死存亡的边缘。大多数的医疗机构都不清楚自己应该做什么，也不知道下一步会怎么样。宾夕法尼亚州威洛格罗夫的足踝专科中心（Foot & Ankle Specialty Center）的业务经理凯瑟琳·莱因海默（Catherine Reinheimer）在今年3月曾经表示：“我们的钱像大出血一样只出不入。这太疯狂了，我们不应该处于这种境地。”

在此次黑客袭击事件发生之后，很多人把Change Healthcare的遭遇与最近的巴尔的摩的弗朗西斯·斯科特·基大桥（Francis Scott Key Bridge）被货船撞塌事件相提并论，认为这两起事故都是由于关键基础设施未得到充分的重视和保护而造成的。

本杰明·乔利（Benjamin Jolley）是非营利机构“美国经济自由项目”（American Economic Liberties Project）的一名药剂师，这家非营利机构主张要推进医疗领域的反垄断。他认为，这起黑客袭击事件是医疗领域疯狂兼并的结果，是不难预见的。“条条大路通罗马”。乔利说：“在我看来，这是一个很大的系统性风险。”

加利福尼亚州的民主党籍议员安娜·埃舒（Anna Eshoo）在今年4月的美国众议院能源与商业委员会（House Committee on Energy and Commerce）的一次听证会上指出：“这次袭击表明，联合健康集团的反竞争行为已经对国家安全构成了威胁。”

在2021年1月，当联合健康集团宣布将收购Change Healthcare公司时，联合健康集团的高管们把这笔交易吹得神乎其神。联合健康集团的新闻通稿承诺，在Change Healthcare和Optum合体之后，将以更低的成本为所有人带来更好的服务和体验。

近年来，随着医疗保健领域的兼并愈演愈烈，大型医疗保健公司变得越来越大，也经常有人用这番理论为此辩解。早在一年之前，《财富》杂志就发现了一个不容忽视的趋势——《财富》美国500强榜单上的医疗保健公司越来越多了。2023年，全美最大的25家公司中有8家来自医疗行业，而在1995年，这个数字为零。

在几十年之前，联合健康集团基本上还只是一家普通的医疗保险公司，而CVS也只是一家连锁药店。但是自此以后，这两家公司（还有其他几家类似的公司）通过几轮大规模的并购，已经变成了无所不能的医疗巨头，其触手早已渗透到了行业的各个角落。它们现在既是保险公司，也是药店、诊所和家庭保健公司。它们认为，这种新的、纵向的一体化公司才是改良昂贵的美国医疗体系的终极答案。它们声称，只要把所有这些资产整合在一起，它们就能够调和支付方和医疗服务供应商长期以来的矛盾，并且利用各种数据，为老百姓带来更高价值和更高协调水平的医疗服务。

当然，对于这些说法，以及是否应该让这些唯利是图的医疗巨头拥有如此巨大的权力，很多人是表示怀疑的。

不管是好是坏，Change Healthcare公司显然就是这种权力的代表。它是全美领先的医保报销信息中心，经常被人称为美国医疗保健行业的“管道”，每年处理的信息交换以及支付方和医疗服务提供方之间的支付交易高达惊人的150亿次。

用“管道”来比喻Change Healthcare其实不太确切，这实际上还低估了这家公司的影响和复杂性。该公司的平台提供了将近200种不同的技术服务，其中有许多服务是通过医疗机构的电子病历系统来运行的，并且实现了对各种后端流程的自动化——例如自动预约、资格审查、预授权、提供影像软件和临床决策支持工具（即指示医疗机构运行什么测试或者程序）、促进处方医师与医学实验室之间的交流，等等。对于保险公司而言，Change Healthcare提供的工具可以引导患者选择低成本的医疗服务提供商，并且实现快速报销理赔。根据2023年联合健康集团的投资者会议材料，Optum Insight目前平均每年促成230亿次交易，处理“2.85亿条临床和报销数据”。（占到美国总人口的85%以上。）

不过，也不是所有人都认为这些触手广泛的大医疗集团之间的相互兼并对于美国的医疗保健行业来说是一条健康的发展道路。在2022年联合健康集团试图收购Change Healthcare时，有政府律师就曾经试图阻止此次收购，当然他们当时还没有预见到网络攻击所导致的大面积系统瘫痪。他们担心的是“联合健康集团控制了一条重要的数据高速公路”，从而会对医保行业的竞争对手形成降维打击。但是负责审核此次并购的联邦法官却对此不以为然，当年的晚些时候，在联合健康集团出售了它的保险索赔管理业务之后，这位法官还是对这笔并购开了绿灯。

在并购完成的一年半之后，也就是到了黑客攻击事件发生的时候，联合健康集团开始着手对这家价值130亿美元的子公司进行技术升级。但此时Change Healthcare的系统已经相当脆弱了。甚至连威蒂自己也承认，该公司的有些系统已经用了40年之久。联合健康集团也还来得及给Change Healthcare的所有服务器都用上多重认证保护——它既是联合健康集团最基础的网络安防标准，也是几乎所有美国大企业最基础的网络安防标准。

另外，Change Healthcare的系统缺乏冗余的问题也没有得到解决。威蒂在参加美国国会的听证会时曾经指出，系统恢复之所以需要耗费这么长的时间，一个重要原因就是攻击导致其主系统和备份系统都瘫痪了，而这两个系统没有一个在云端上。

最近几周，该公司的声明似乎表明，美国的医疗保健系统已经从网络袭击事件中恢复了过来，全美的医保报销“现在也已经接近正常水平”。但是，美国国会的议员们和像马丁及莱因海默这样的一线的医疗机构却不太相信这番说辞。联合健康集团自己的在线恢复追踪工具也显示，相关工作依旧在持续进行中。截至今年5月14日，在Change Healthcare的28项功能中，只有9项被标注为“服务完全恢复”。

当然，这也不是美国的医疗保健系统第一次遭到如此严重的网络攻击。政府数据显示，在过去五年里，因为黑客的攻击而导致的大规模信息泄露事件增加了256%，勒索软件攻击事件增加了264%。根据来自美国医院协会（American Hospital Association）的数据，美国大约每隔一周就会发生一起针对医疗机构的“严重勒索软件攻击”——即黑客要求支付赎金来换取停止攻击。

黑客为何如此偏爱医疗机构？这其实没有什么好奇怪的。美国的医疗保健行业创造的价值已经占到了美国经济总量的五分之一。如此巨大的一块蛋糕，当然会成为黑客觊觎的对象。特别是医院一旦中招，交赎金的几率还是不小的。据报道，除了勒索赎金以外，光是患者的一份病历，在暗网上就叫价60美元以上，远超社保账号（1美元）和信用卡号（5美元）的黑市价格。

现在有不少人认为，在此次黑客攻击事件之后，美国的医疗系统很可能会迎来进一步的兼并与整合——具有讽刺意味的是，联合健康集团反而可能会加快兼并的步伐。它旗下的Optum公司已经收购了至少一家因此次网络攻击事件而濒临破产的医疗服务提供商。这一点也引起了立法者的极大关注。（威蒂在听证会上告诉议员们：“我们绝不会试图利用这一点。”）

作为Change Healthcare的老板，联合健康集团在此次危机中扮演了什么角色，又应该负何种责任呢？对此，人们也是众说纷纭。比如议员埃舒在今年4月的美国众议院能源与商业委员会的听证会上声称：“联合健康集团是因为它的规模而成了众矢之的。”还有人指出，在企业并购以及不同技术平台和团队的整合过程中，往往就会出现网络安全漏洞。

而威蒂则表示，此次危机最终能够得以收场，最终还是联合健康集团的庞大体量发挥了关键作用——或者说至少没有让事情变得更糟。他指出，自从袭击事件发生以来，联合健康集团已经向受到影响的医疗机构提供了60多亿美元的贷款，同时联合健康集团也为恢复服务做出了巨大的努力。威蒂在今年4月的财报会议上说：“联合健康集团在此次事件中提供了大量的资源支持……Change Healthcare公司在并购前是无法获得这么多资源的。”他和其他高管还在财报会议上向投资者保证，公司的财务状况仍旧良好。

当一家公司大到当它自己的系统遭遇严重网络攻击，导致无数中小医疗机构濒临破产，但它自己却几乎毫发无损的时候，这对整个美国的医疗体系又意味着什么呢？对此，美国经济自由项目的本杰明·乔利给出了一个残酷的结论：“它们已经大到根本不在乎这些事情了。”

译者：Min