หน่วยงานด้านความปลอดภัยไซเบอร์ในฝรั่งเศสรายงานการละเมิดข้อมูลครั้งใหญ่ที่ส่งผลกระทบต่อผู้ให้บริการซอฟต์แวร์ด้านสุขภาพบุคคลที่สามซึ่งมีความเชื่อมโยงกับกระทรวงสาธารณสุขของประเทศ ได้แก่ Cegedim Santé โดยมีไฟล์ทางการแพทย์เชิงบริหารประมาณ 15.8 ล้านรายการถูกขโมย ในจำนวนนี้มีเกือบ 165,000 ไฟล์ที่ประกอบด้วยบันทึกลายมือของแพทย์ซึ่งบางครั้งมีประวัติทางการแพทย์ที่ละเอียดอ่อนของผู้ป่วย เช่น สถานะการติดเชื้อ HIV/AIDS และรสนิยมทางเพศ ข้อมูลที่รั่วไหลยังรวมถึงชื่อ-นามสกุลเต็ม เพศ วันเกิด หมายเลขโทรศัพท์

บันทึกทางการแพทย์ 15.8 ล้านรายการถูกขโมยในเหตุการณ์ละเมิดข้อมูลด้านสุขภาพของฝรั่งเศส

เหตุการณ์ละเมิดบันทึกทางการแพทย์ครั้งใหญ่ในฝรั่งเศสได้เปิดเผยข้อมูลสุขภาพส่วนตัวของผู้คนประมาณ 15.8 ล้านคน หลังจากผู้โจมตีเจาะเข้าระบบของ Cegedim Santé ซึ่งเป็นผู้จำหน่ายซอฟต์แวร์บุคคลที่สามที่มีความเชื่อมโยงกับกระทรวงสาธารณสุขของฝรั่งเศส ขนาดของการละเมิดนั้นน่าตกใจเพียงพอในตัวมันเอง แต่สิ่งที่ทำให้เหตุการณ์นี้ร้ายแรงเป็นพิเศษคือความละเอียดอ่อนของข้อมูลที่เกี่ยวข้อง ไม่ว่าจะเป็นบันทึกลายมือของแพทย์ที่มีรายละเอียดเกี่ยวกับสถานะการติดเชื้อ HIV/AIDS และรสนิยมทางเพศซึ่งอยู่ในไฟล์ที่ถูกขโมยไป

นี่ไม่ใช่แค่เรื่องราวของฝรั่งเศสเท่านั้น แต่เป็นการเตือนให้ตระหนักว่าข้อมูลด้านสุขภาพเป็นหนึ่งในหมวดหมู่ข้อมูลส่วนบุคคลที่มีคุณค่าและเปราะบางที่สุดที่มีอยู่ และระบบที่ปกป้องข้อมูลเหล่านั้นมีความแข็งแกร่งเพียงเท่ากับจุดอ่อนที่สุดของมันเท่านั้น

สิ่งที่ถูกขโมยและผู้ที่ได้รับผลกระทบ

การละเมิดนี้เกิดขึ้นในช่วงปลายปี 2025 และเพิ่งได้รับการเปิดเผยไม่นานมานี้ โดยส่งผลกระทบต่อแพลตฟอร์มการดูแลสุขภาพดิจิทัลที่ใช้โดยแพทย์ประมาณ 3,800 คนทั่วฝรั่งเศส ข้อมูลที่ถูกขโมยได้แก่:

• ชื่อ-นามสกุลเต็ม
• เพศ
• วันเกิด
• หมายเลขโทรศัพท์
• ที่อยู่อาศัย
• ที่อยู่อีเมล
• ไฟล์ทางการแพทย์เชิงบริหาร
• ไฟล์ประมาณ 165,000 รายการที่ประกอบด้วยบันทึกทางคลินิกลายมือของแพทย์

บันทึกทางคลินิกเหล่านั้นคือองค์ประกอบที่น่าเป็นห่วงที่สุด ต่างจากฟิลด์ในฐานข้อมูลที่มีโครงสร้างชัดเจน บันทึกลายมือจะบันทึกบริบทของการพบปะผู้ป่วยอย่างครบถ้วนและไม่ผ่านการกรอง ซึ่งอาจรวมถึงการวินิจฉัยโรค ประวัติการใช้ยา รายละเอียดด้านสุขภาพจิต และในกรณีนี้คือข้อมูลเกี่ยวกับสถานะการติดเชื้อ HIV/AIDS และรสนิยมทางเพศ นี่คือข้อมูลประเภทที่ผู้คนแบ่งปันกับแพทย์ของตนภายใต้ความคาดหวังว่าจะได้รับการปกปิดอย่างเด็ดขาด

เหตุใดผู้จำหน่ายซอฟต์แวร์ด้านสุขภาพจึงเป็นเป้าหมายหลัก

Cegedim Santé อาจไม่ใช่ชื่อที่คุ้นหูนัก แต่บริษัทนี้อยู่ที่ศูนย์กลางของเครือข่ายข้อมูลทางการแพทย์ขนาดใหญ่ และนั่นคือสิ่งที่ทำให้ผู้จำหน่ายซอฟต์แวร์บุคคลที่สามน่าดึงดูดสำหรับผู้โจมตีอย่างมาก แทนที่จะมุ่งเป้าไปที่คลินิกหรือโรงพยาบาลเพียงแห่งเดียว การเจาะระบบของผู้จำหน่ายรายเดียวสามารถเปิดประตูสู่บันทึกผู้ป่วยหลายล้านรายการได้ในคราวเดียว

การโจมตีครั้งนี้เป็นไปตามรูปแบบที่พบซ้ำแล้วซ้ำเล่าในช่วงไม่กี่ปีที่ผ่านมา ผู้ให้บริการด้านสุขภาพพึ่งพาแพลตฟอร์มซอฟต์แวร์ที่เชื่อมต่อกันอย่างมากเพื่อจัดการบันทึก การเรียกเก็บเงิน และการสื่อสาร แต่ละแพลตฟอร์มเหล่านั้นแทนถึงจุดเข้าถึงที่เป็นไปได้ เมื่อความปลอดภัยของผู้จำหน่ายล้มเหลว ผลกระทบจะกระจายออกไปยังทุกแพทย์ ผู้ป่วย และสถาบันที่ไว้วางใจพวกเขาด้วยข้อมูลของตน

ความเชื่อมโยงระหว่างกระทรวงสาธารณสุขของฝรั่งเศสกับ Cegedim Santé ยังแสดงให้เห็นถึงความท้าทายที่กว้างขึ้น แม้แต่เมื่อรัฐบาลลงทุนในโครงสร้างพื้นฐานด้านสุขภาพดิจิทัล ความปลอดภัยของโครงสร้างพื้นฐานนั้นก็มักขึ้นอยู่กับผู้รับเหมาเอกชนที่มีแนวปฏิบัติซึ่งอาจไม่ได้รับการตรวจสอบในระดับเดียวกัน

สิ่งที่เหตุการณ์นี้หมายความต่อคุณ

หากคุณเป็นผู้ป่วยในฝรั่งเศสที่เคยเข้ารับการรักษากับแพทย์ที่ได้รับผลกระทบประมาณ 3,800 คน ข้อมูลของคุณอาจถูกบุกรุก แม้ว่าคุณจะไม่ได้อยู่ในฝรั่งเศส การละเมิดครั้งนี้ก็มีบทเรียนสำคัญให้เรียนรู้

ประการแรก คุณแทบไม่มีการควบคุมโดยตรงว่าผู้จำหน่ายบุคคลที่สามจะจัดการกับข้อมูลที่แพทย์ของคุณส่งในนามของคุณอย่างไร เมื่อคุณแบ่งปันข้อมูลในสภาพแวดล้อมทางการแพทย์ ข้อมูลนั้นจะเข้าสู่ระบบที่คุณไม่สามารถตรวจสอบหรือติดตามด้วยตัวเองได้

ประการที่สอง รายละเอียดที่ละเอียดอ่อนที่สุดเกี่ยวกับชีวิตของคุณ รวมถึงสภาวะสุขภาพของคุณ อาจถูกเปิดเผยผ่านการละเมิดที่ไม่มีส่วนเกี่ยวข้องกับพฤติกรรมออนไลน์ของคุณเอง นี่คือความเสี่ยงที่มีอยู่โดยไม่ขึ้นอยู่กับว่าคุณใช้รหัสผ่านที่รัดกุมหรืออัปเดตอุปกรณ์ของคุณอยู่สม่ำเสมอหรือไม่

ประการที่สาม ความเสี่ยงระยะยาวของการเปิดเผยข้อมูลประเภทนี้เป็นเรื่องจริง ข้อมูลเกี่ยวกับสถานะ HIV หรือรสนิยมทางเพศ หากตกไปอยู่ในมือที่ผิด สามารถนำไปใช้เพื่อการเลือกปฏิบัติ การกรรโชกทรัพย์ หรือการโจมตีแบบฟิชชิงที่มีเป้าหมายเฉพาะ อาชญากรที่ได้รับข้อมูลนี้จะไม่เพียงแค่ขายมันครั้งเดียว แต่พวกเขาจะใช้ แลกเปลี่ยน และนำมันมาใช้ประโยชน์ในแบบที่อาจส่งผลกระทบต่อเหยื่อเป็นเวลาหลายปี

สำหรับบุคคลทั่วไป ขั้นตอนที่ควรปฏิบัติหลังจากการละเมิดในลักษณะนี้ได้แก่ การติดตามการสื่อสารที่น่าสงสัย การระมัดระวังต่อการติดต่อใดๆ ที่อ้างอิงรายละเอียดสุขภาพส่วนตัว และการตรวจสอบว่าข้อมูลของคุณปรากฏในบริการแจ้งเตือนการละเมิดหรือไม่ ในฝรั่งเศส หน่วยงานคุ้มครองข้อมูลแห่งชาติ (CNIL) คาดว่าจะมีบทบาทในการตอบสนองต่อการละเม