Gestohlene Zugangsdaten: Cyberkriminelle erlangten mithilfe von gestohlenen Zugangsdaten, die durch Phishing entwendet wurden, Zugriff auf das System.  Deaktivierte Multi-Faktor-Authentifizierung (MFA): MFA war auf dem Softwareportal, über das die Angreifer Zugang erlangten, nicht aktiviert.  Unerkannte Seitwärtsbewegung: Die Angreifer bewegten sich innerhalb des Systems neun Tage lang unentdeckt seitwärts und konnten so Daten kopieren, bevor sie die Ransomware einsetzten.  Veraltete Backupsysteme: Change Healthcare nutzte für seine Abrechnungs- und Zahlungssysteme Technologien, die teilweise 40 Jahre alt waren. Die Daten befanden sich zudem auf anfälligen Servern vor Ort. Diese veralteten Systeme und die fehlende Trennung der Backupsysteme vom primären System führten dazu, dass sowohl die primären als auch die sekundären IT-Systeme kompromittiert wurden.