การรั่วไหลของข้อมูลโรงพยาบาลที่เกี่ยวข้องกับบันทึกผู้ป่วยนั้นแทบจะไม่ใช่แค่ชื่อและที่อยู่ เมื่อเอกสารที่เปิดเผยรวมถึงผลตรวจวินิจฉัยและประวัติการรักษา ผลกระทบอาจติดตามตัวบุคคลนั้นไปอีกหลายปี นั่นคือข้อกังวลที่เกิดขึ้นจากเหตุการณ์ที่เพิ่งถูกรายงานเกี่ยวกับโรงพยาบาล Di Camp ในบราซิล ซึ่งผู้ไม่หวังดีกล่าวหาว่าได้ปล่อยข้อมูลผู้ป่วยออกมาเป็นชุด ๆ หลายระลอก โดยขยายขอบเขตจากผลตรวจคลื่นไฟฟ้าหัวใจไปยังข้อมูลสุขภาพที่ได้รับการคุ้มครองอื่น ๆ และในที่สุดก็อ้างว่าสามารถเข้าถึงฐานข้อมูลทั้งหมดของโรงพยาบาลได้
สิ่งที่รั่วไหลในการโจมตีโรงพยาบาล Di Camp
ตามรายงานเหตุการณ์ การรั่วไหลนี้เกิดขึ้นเป็นลำดับขั้น ไม่ใช่การทิ้งข้อมูลเพียงครั้งเดียว เริ่มต้นจากข้อมูลคลื่นไฟฟ้าหัวใจ (ECG) ที่เชื่อมโยงกับผู้ป่วยรายบุคคล ซึ่งเป็นประเภทข้อมูลที่เผยให้เห็นรายละเอียดทางคลินิกอันอ่อนไหวเกี่ยวกับสุขภาพหัวใจของบุคคล จากนั้นการเปิดเผยก็ขยายไปถึงข้อมูลสุขภาพที่ได้รับการคุ้มครองในวงกว้างขึ้น และผู้ไม่หวังดีกล่าวอ้างว่าสามารถเข้าถึงฐานข้อมูลทั้งหมดของโรงพยาบาล
รูปแบบการปล่อยข้อมูลเป็นระยะนี้พบได้ในการเจาะระบบรูปแบบรีดไถอื่น ๆ คือ การปล่อยตัวอย่างเล็กน้อยก่อนเพื่อพิสูจน์ว่าข้อมูลเป็นของจริงและเข้าถึงได้จริง จากนั้นจึงข่มขู่หรือปล่อยข้อมูลชุดใหญ่ขึ้นเพื่อกดดันองค์กรที่เป็นเหยื่อ สำหรับผู้ป่วย นั่นหมายความว่าแม้แต่การรั่วไหล "เล็กน้อย" ในเบื้องต้นก็อาจเป็นตัวอย่างของข้อมูลที่อ่อนไหวกว่านั้นอย่างมากที่ยังมีความเสี่ยง
เหตุใดการรั่วไหลของข้อมูลทางการแพทย์จึงอันตรายกว่าข้อมูลการเงิน
หมายเลขบัตรเครดิตที่ถูกขโมยสามารถยกเลิกได้ รหัสผ่านที่รั่วไหลสามารถเปลี่ยนได้ แต่ผลตรวจคลื่นไฟฟ้าหัวใจ ประวัติการวินิจฉัย หรือบันทึกการรักษาของผู้ป่วย ไม่สามารถออกใหม่ได้ เมื่อข้อมูลทางการแพทย์ถูกเปิดเผย มันจะยังคงเปิดเผยต่อไป และมีความคงทนถาวรที่ข้อมูลทางการเงินมักไม่มี
บันทึกสุขภาพยังเปิดเผยตัวตนได้อย่างเฉพาะเจาะจง มันสามารถบ่งชี้ถึงโรคเรื้อรัง ประวัติสุขภาพจิต รายละเอียดอนามัยการเจริญพันธุ์ หรือการบำบัดรักษาการใช้สารเสพติด ข้อมูลที่ผู้ป่วยอาจไม่เคยเปิดเผยต่อสาธารณะ และไม่สามารถเรียกคืนได้เมื่ออยู่ในมือของอาชญากร เมื่อรวมเข้ากับรายละเอียดที่ระบุตัวตน เช่น ชื่อเต็มและวันเกิด ข้อมูลประเภทนี้ทำให้ผู้ไม่หวังดีมีภาพรวมของบุคคลที่สมบูรณ์กว่าการรั่วไหลทางการเงินทั่วไปอย่างมาก
นี่ไม่ใช่ข้อกังวลที่เกิดขึ้นโดด ๆ ในบราซิล ประเทศนี้เคยเกิดเหตุการณ์เปิดเผยข้อมูลขนาดใหญ่มาแล้ว รวมถึงกรณีที่ถูกกล่าวหาว่า ชาวบราซิล 223 ล้านคนได้รับผลกระทบจากการรั่วไหลของ Serasa Experian ซึ่งเน้นไปที่ข้อมูลเครดิตและข้อมูลประจำตัว เมื่อบันทึกทางการแพทย์จากเหตุการณ์อย่างการรั่วไหลของโรงพยาบาล Di Camp ลอยนวลไปพร้อมกับชุดข้อมูลทางการเงินที่ถูกบุกรุกจากแหล่งอื่น การรวมกันนี้ทำให้อาชญากรมีประวัติที่สมบูรณ์ยิ่งขึ้นเพื่อนำไปสร้างแผนการฉ้อโกงที่น่าเชื่อถือ
ความเสี่ยงด้านการฉ้อโกงและการข่มขู่จากบันทึกสุขภาพที่รั่วไหล
ความเสี่ยงที่เชื่อมโยงกับการเจาะระบบด้านการดูแลสุขภาพขยายไปไกลกว่าการโจรกรรมข้อมูลประจำตัวในความหมายแบบดั้งเดิม ข้อมูลทางการแพทย์ที่รั่วไหลเคยถูกนำไปใช้เพื่อ:
- สนับสนุนการโจรกรรมข้อมูลประจำตัวทางการแพทย์ ซึ่งบุคคลนำข้อมูลของเหยื่อไปใช้รับการรักษา ใบสั่งยา หรือเบิกจ่ายประกันโดยมิชอบ
- สร้างความพยายามฟิชชิงหรือวิศวกรรมสังคมที่เฉพาะเจาะจงสูง ซึ่งอ้างอิงถึงการวินิจฉัยหรือการรักษาจริงเพื่อให้ดูน่าเชื่อถือ
- เปิดทางให้การข่มขู่หรือแบล็กเมล์ผู้ป่วยที่บันทึกเผยให้เห็นภาวะสุขภาพที่อ่อนไหว
- ป้อนเข้าสู่การฉ้อโกงข้อมูลประจำตัวในวงกว้างเมื่อรวมกับข้อมูลทางการเงินหรือเครดิตจากการเจาะระบบอื่น ๆ
รูปแบบการปล่อยข้อมูลเป็นระลอกที่รายงานในกรณีนี้ ซึ่งทยอยเปิดเผยข้อมูลอ่อนไหวออกมาเรื่อย ๆ ยังเป็นกลยุทธ์กดดันอีกด้วย มันส่งสัญญาณไปยังโรงพยาบาล และอาจรวมถึงผู้ป่วย ว่าจะมีข้อมูลถูกปล่อยออกมาได้อีก ซึ่งสามารถใช้เพื่อรีดเงิน หรือเพียงเพื่อขยายการเข้าถึงและมองเห็นของการรั่วไหลให้มากที่สุด
ขั้นตอนที่ผู้ป่วยสามารถทำได้เพื่อปกป้องตนเองหลังการเจาะระบบด้านการดูแลสุขภาพ
หากคุณเชื่อว่าข้อมูลของคุณอาจเกี่ยวข้องกับการเจาะระบบของโรงพยาบาลเช่นนี้ หรือการเปิดเผยข้อมูลด้านการดูแลสุขภาพใด ๆ มีขั้นตอนที่เป็นรูปธรรมที่ควรปฏิบัติ:
- จับตาดูการแจ้งเตือนอย่างเป็นทางการ ประกาศการรั่วไหลที่ถูกต้องตามกฎหมายจากโรงพยาบาลหรือหน่วยงานสาธารณสุขจะไม่ร้องขอการชำระเงินหรือรายละเอียดการยืนยันตัวตนที่อ่อนไหวทางอีเมลหรือโทรศัพท์
- เฝ้าระวังการโจรกรรมข้อมูลประจำตัวทางการแพทย์ ตรวจสอบใบแจ้งหนี้ประกันและใบเรียกเก็บค่ารักษาพยาบาลสำหรับบริการหรือใบสั่งยาที่คุณไม่ได้รับ
- ระแวงการติดต่อที่ไม่ได้คาดคิด นักต้มตุ๋นอาจใช้รายละเอียดสุขภาพที่รั่วไหลเพื่อทำให้ข้อความฟิชชิงดูน่าเชื่อถือ ตรวจสอบคำขอใด ๆ ด้วยตนเองก่อนตอบสนอง
- พิจารณาใช้บริการตรวจสอบเครดิต แม้การเจาะระบบทางการแพทย์ก็อาจใช้คู่กับการพยายามฉ้อโกงข้อมูลประจำตัว การตรวจสอบรายงานเครดิตจึงเพิ่มชั้นของการป้องกัน
- ใช้รหัสผ่านที่แข็งแกร่งและไม่ซ้ำกัน สำหรับพอร์ทัลผู้ป่วยหรือบัญชีที่เกี่ยวข้องกับการดูแลสุขภาพ และเปิดใช้การยืนยันตัวตนหลายปัจจัยเมื่อมี
สิ่งนี้มีความหมายสำหรับคุณ
แม้ว่าคุณจะไม่ใช่ผู้ป่วยของโรงพยาบาล Di Camp เหตุการณ์นี้ก็เป็นเครื่องย้ำเตือนว่าองค์กรด้านการดูแลสุขภาพถือครองข้อมูลที่อ่อนไหวที่สุดของเรา และข้อมูลนั้นไม่ได้หายไปเมื่อเกิดการรั่วไหล บราซิลเผชิญกับเหตุการณ์เปิดเผยข้อมูลขนาดใหญ่ซ้ำแล้วซ้ำเล่าในช่วงไม่กี่ปีที่ผ่านมา และแต่ละเหตุการณ์ก็เพิ่มพูนคลังข้อมูลที่อาชญากรสามารถใช้เชื่อมโยงอ้างอิงได้ บทสนทนาเกี่ยวกับการเปิดเผยข้อมูลในบราซิลไม่ได้จำกัดอยู่แค่การดูแลสุขภาพเท่านั้น มันเชื่อมโยงกับการถกเถียงในวงกว้างเรื่องการเฝ้าระวังและการเก็บรวบรวมข้อมูล รวมถึงข้อกังวลที่ว่า กฎหมายยืนยันอายุกำลังสร้างเครือข่ายเฝ้าระวังทั่วโลก ซึ่งบังคับให้ประชาชนต้องมอบข้อมูลระบุตัวตนมากขึ้นให้กับแพลตฟอร์มและบริการต่าง ๆ
สิ่งสำคัญไม่ใช่การตื่นตระหนก แต่เป็นการตื่นตัว การรั่วไหลของข้อมูลโรงพยาบาลที่เกี่ยวข้องกับบันทึกผู้ป่วยเช่นนี้ตอกย้ำว่าทำไมผู้ให้บริการด้านสุขภาพจึงต้องมีแนวปฏิบัติด้านการปกป้องข้อมูลที่แข็งแกร่งขึ้น และทำไมผู้ป่วยจึงได้ประโยชน์จากการปฏิบัติต่อข้อมูลทางการแพทย์ของตนด้วยความระมัดระวังเช่นเดียวกับบัญชีทางการเงิน จับตาดูการสื่อสารอย่างเป็นทางการจากผู้ให้บริการใด ๆ ที่คุณใช้ ตั้งคำถามกับคำขอข้อมูลส่วนบุคคลที่ไม่คาดคิด และพิจารณาบริการตรวจสอบหากคุณสงสัยว่าข้อมูลของคุณอาจเป็นส่วนหนึ่งของการรั่วไหลขนาดใหญ่ การติดตามข่าวสารเกี่ยวกับการเจาะระบบเช่นนี้ คือหนึ่งในวิธีที่ง่ายที่สุดที่จะนำหน้าผู้ที่พยายามหาประโยชน์จากพวกมันอยู่หนึ่งก้าว
