บริษัทเทคโนโลยีสุขภาพยืนยันการเข้าถึงโดยไม่ได้รับอนุญาตเป็นเวลานาน
CareCloud บริษัทผู้ให้บริการบันทึกสุขภาพอิเล็กทรอนิกส์แก่ผู้ให้บริการด้านสุขภาพ ได้เริ่มแจ้งเตือนอย่างเป็นทางการแก่ผู้ป่วยหลายแสนรายว่าข้อมูลทางการแพทย์ของพวกเขาถูกขโมยในการละเมิดเมื่อต้นปีนี้ บริษัทระบุว่าแฮ็กเกอร์เข้าถึงคลังข้อมูลบันทึกสุขภาพอิเล็กทรอนิกส์ของบริษัทเป็นเวลาอย่างน้อยหกวัน ระหว่างวันที่ 10 ถึง 16 มีนาคม ก่อนที่จะตรวจพบและควบคุมการบุกรุกได้
การแจ้งเตือนดังกล่าวเกิดขึ้นหลายเดือนหลังจากเหตุการณ์จริง ซึ่งเป็นช่วงเวลาที่พบได้บ่อยในการละเมิดข้อมูลด้านสุขภาพ เนื่องจากบริษัทมักต้องใช้เวลาในการตรวจสอบขอบเขตการเข้าถึงโดยไม่ได้รับอนุญาต ทำงานร่วมกับผู้เชี่ยวชาญทางนิติวิทยาศาสตร์ และเตรียมการแจ้งเตือนทางกฎหมายก่อนที่จะติดต่อไปยังผู้ที่ได้รับผลกระทบ อย่างไรก็ตาม สำหรับผู้ป่วย ความล่าช้านี้หมายความว่าข้อมูลสุขภาพส่วนบุคคลอาจถูกเผยแพร่หรือมีความเสี่ยงเป็นเวลานานก่อนที่พวกเขาจะได้รับแจ้ง
จุดหักมุมที่ไม่ธรรมดา: แฮ็กเกอร์ที่ส่งหลักฐาน
สิ่งที่ทำให้เหตุการณ์นี้แตกต่างจากการละเมิดข้อมูลด้านสุขภาพอื่น ๆ คือวิธีที่ผู้โจมตีเข้าหา CareCloud บริษัทกล่าวว่าแฮ็กเกอร์รายหนึ่งอ้างความรับผิดชอบการบุกรุกและที่สำคัญคือส่งตัวอย่างข้อมูลที่ถูกขโมยให้กับบริษัทโดยตรง พร้อมกับคำเรียกร้องค่าไถ่เพื่อป้องกันไม่ให้ข้อมูลถูกเผยแพร่ออนไลน์ การส่งตัวอย่างข้อมูลเพื่อใช้เป็นข้อต่อรองนั้นไม่ใช่วิธีมาตรฐานของกลุ่มแรนซัมแวร์หรือผู้ขู่กรรโชก ซึ่งส่วนใหญ่มักขู่ว่าจะเผยแพร่ไฟล์ที่ขโมยโดยไม่แสดงหลักฐานล่วงหน้า รายละเอียดนี้ชี้ให้เห็นว่าผู้โจมตีต้องการสร้างความน่าเชื่อถืออย่างรวดเร็ว เพื่อกดดันให้ CareCloud จ่ายเงินมากกว่าที่จะเสี่ยงกับการเจรจาที่ยืดเยื้อ
อย่างไรก็ตาม ยังไม่มีกลุ่มแรนซัมแวร์หรือแก๊งขู่กรรโชกที่เป็นที่รู้จักอ้างความรับผิดชอบการละเมิดข้อมูลครั้งนี้อย่างเป็นทางการ ความคลุมเครือเช่นนี้ไม่ใช่เรื่องแปลกในภูมิทัศน์ภัยคุกคามปัจจุบัน ที่ซึ่งบุคคลเพียงลำพัง กลุ่มเล็ก ๆ หรือกลุ่มพันธมิตรที่ทำงานนอกแบรนด์แรนซัมแวร์ที่เป็นที่รู้จัก ปฏิบัติการโจมตีโดยไม่ประกาศบนเว็บไซต์รั่วไหลที่มักใช้โดยปฏิบัติการอาชญากรรมไซเบอร์ขนาดใหญ่ การไม่มีชื่อผู้กล่าวอ้างไม่ได้ลดความร้ายแรงของการเปิดเผยข้อมูล แต่ทำให้การระบุแหล่งที่มาและการเฝ้าระวังยากขึ้นสำหรับผู้ตรวจสอบและผู้ป่วยที่ได้รับผลกระทบ
การแจ้งเตือนครั้งนี้สืบเนื่องมาจากการเปิดเผยก่อนหน้านี้ในปีนี้ ซึ่ง CareCloud ยืนยันว่าแฮ็กเกอร์เข้าถึงบันทึกทางการแพทย์ของผู้ป่วย ที่เกี่ยวข้องกับเหตุการณ์ด้านความปลอดภัยในวงกว้างเดียวกัน การทยอยแจ้งเตือนไปยังบุคคลหลายแสนรายนี้ถือเป็นขั้นตอนถัดไปของกระบวนการเปิดเผยข้อมูล ในขณะที่บริษัทยังคงตรวจสอบรายละเอียดว่าข้อมูลของใครได้รับผลกระทบบ้างและข้อมูลประเภทใดที่ถูกเปิดเผย
เหตุใดการละเมิดข้อมูลด้านสุขภาพจึงมีความเสี่ยงสูงเป็นพิเศษ
บันทึกสุขภาพอิเล็กทรอนิกส์มักประกอบด้วยข้อมูลที่มีความอ่อนไหวสูงหลายประเภท ได้แก่ ชื่อ วันเดือนปีเกิด หมายเลขประกันสังคม รายละเอียดการประกัน ประวัติการวินิจฉัยและการรักษา และบางครั้งก็มีข้อมูลการเรียกเก็บเงินหรือข้อมูลทางการเงิน ต่างจากรหัสผ่านที่ถูกบุกรุก ข้อมูลประเภทนี้ไม่สามารถรีเซ็ตใหม่ได้ การโจรกรรมข้อมูลประจำตัวทางการแพทย์ การฉ้อโกงประกัน และการฟิชชิ่งแบบเจาะจงเป้าหมาย ล้วนเป็นผลลัพธ์ที่เป็นไปได้เมื่อข้อมูลประเภทนี้ตกไปอยู่ในมือผู้ไม่หวังดี และผลกระทบอาจปรากฏขึ้นหลายเดือนหรือหลายปีหลังจากการละเมิดครั้งแรก
ผู้ให้บริการเทคโนโลยีด้านสุขภาพอย่าง CareCloud อยู่ในสถานะที่อ่อนไหวเป็นพิเศษ เนื่องจากพวกเขาประมวลผลและจัดเก็บข้อมูลแทนองค์กรผู้ให้บริการหลายแห่ง หมายความว่าการละเมิดเพียงครั้งเดียวที่ผู้ให้บริการหนึ่งราย อาจส่งผลกระทบต่อผู้ป่วยในคลินิกและระบบโรงพยาบาลหลายแห่งที่ไม่เคยติดต่อกับบริษัทที่ถูกบุกรุกโดยตรง ดังที่เคยรายงานไว้ก่อนหน้านี้ ขนาดของ การเปิดเผยข้อมูลของ CareCloud ส่งผลกระทบต่อบันทึกผู้ป่วยหลายล้านรายการ ในฐานลูกค้าทั้งหมด ซึ่งตอกย้ำให้เห็นว่าความเสี่ยงจะกระจุกตัวมากเพียงใดเมื่อข้อมูลสุขภาพจำนวนมหาศาลไหลผ่านผู้ให้บริการเทคโนโลยีเพียงไม่กี่ราย
สิ่งนี้หมายถึงอะไรสำหรับคุณ
หากคุณได้รับ หรือจะได้รับจดหมายแจ้งเตือนจาก CareCloud จงให้ความสำคัญอย่างจริงจัง แม้ว่าข้อความจะดูเป็นทางการก็ตาม อ่านจดหมายอย่างละเอียดเพื่อทำความเข้าใจว่าข้อมูลของคุณประเภทใดบ้างที่เกี่ยวข้อง เนื่องจากผู้ที่ได้รับการแจ้งเตือนแต่ละคนอาจไม่ได้มีข้อมูลที่ถูกเปิดเผยเหมือนกัน หากมีหมายเลขประกันสังคมหรือหมายเลขประจำตัวผู้ประกันตนรวมอยู่ด้วย ให้พิจารณาตั้งการแจ้งเตือนการทุจริตหรือการอายัดเครดิตกับเครดิตบูโรหลัก ตรวจสอบใบแจ้งหนี้ประกันและค่ารักษาพยาบาลอย่างใกล้ชิดเพื่อหาบริการที่คุณไม่รู้จัก เนื่องจากการโจรกรรมข้อมูลประจำตัวทางการแพทย์อาจสังเกตเห็นได้ยากกว่าการฉ้อโกงทางการเงินทั่วไป ระมัดระวังอีเมล โทรศัพท์ หรือข้อความที่ตามมาโดยอ้างว่ามาจาก CareCloud หรือผู้ให้บริการด้านสุขภาพของคุณที่ขอให้คุณยืนยันข้อมูลส่วนตัว เนื่องจากการแจ้งเตือนการละเมิดมักถูกใช้ประโยชน์โดยนักต้มตุ๋นที่ดำเนินแคมเปญฟิชชิ่ง
ข้อสรุปสำคัญ
กระบวนการแจ้งเตือนของ CareCloud เป็นเครื่องเตือนใจว่าการละเมิดข้อมูลด้านสุขภาพมักเกิดขึ้นเป็นขั้นตอน โดยมีการบุกรุกครั้งแรก การสืบสวน และการแจ้งเตือนในท้ายที่สุดแยกจากกันหลายเดือน ผู้ป่วยที่ได้รับผลกระทบจากเหตุการณ์นี้ควรตรวจสอบจดหมายแจ้งเตือนอย่างละเอียด ลงทะเบียนเพื่อรับการเฝ้าระวังเครดิตหากมี และตื่นตัวต่อการสื่อสารที่น่าสงสัยที่อ้างอิงถึงประวัติการรักษาหรือข้อมูลประกันของคุณ ในขณะที่องค์กรด้านสุขภาพยังคงพึ่งพาผู้ให้บริการเทคโนโลยีภายนอกเพื่อจัดการบันทึกที่มีความอ่อนไหว เหตุการณ์เช่นนี้เน้นย้ำว่าเหตุใดความระมัดระวังของทั้งบริษัทและผู้ป่วยยังคงมีความสำคัญไปอีกนานหลังจากตรวจพบการละเมิดครั้งแรก
