การรั่วไหลของข้อมูล 192.7 ล้านรายการของ Change Healthcare: ความหมายต่อความเป็นส่วนตัวของผู้ป่วย

ตัวเลขนี้ยากที่จะทำความเข้าใจได้ ในปี 2024 การโจมตีด้วยแรนซัมแวร์บน Change Healthcare ซึ่งเป็นศูนย์กลางการประมวลผลธุรกรรมการเรียกเก็บเงินและประกันภัยสำหรับระบบสาธารณสุขส่วนใหญ่ของสหรัฐฯ ส่งผลให้ข้อมูลส่วนบุคคลและข้อมูลสุขภาพของบุคคล 192.7 ล้านคนถูกขโมย การรั่วไหลของข้อมูลสุขภาพเพียงครั้งเดียวนี้นับเป็นครั้งที่ใหญ่ที่สุดในประวัติศาสตร์ที่บันทึกไว้ แซงหน้าเหตุการณ์ก่อนหน้านี้ทั้งหมดอย่างมหาศาล

เพื่อให้เข้าใจบริบท ตัวเลขดังกล่าวคิดเป็นมากกว่าครึ่งหนึ่งของประชากรสหรัฐอเมริกา มันไม่ได้มาจากเหตุการณ์หลายสิบครั้งที่แยกจากกันตลอดทั้งปี แต่มันมาจากการโจมตีเพียงครั้งเดียว บนบริษัทเดียว ซึ่งตั้งอยู่ใจกลางเครือข่ายที่เชื่อมโยงถึงกันระหว่างผู้ให้บริการด้านสุขภาพ บริษัทประกัน และผู้ป่วย

การโจมตีเพียงครั้งเดียวส่งผลกระทบถึง 192.7 ล้านคนได้อย่างไร

บทบาทของ Change Healthcare ในระบบสาธารณสุขสหรัฐฯ ทำให้มันเป็นเป้าหมายที่มีมูลค่าสูงเป็นพิเศษ ในฐานะศูนย์กลางการประมวลผล มันดำเนินการเคลมและธุรกรรมที่เชื่อมต่อโรงพยาบาล คลินิก ร้านขายยา และบริษัทประกันหลายพันแห่ง เมื่อผู้โจมตีเจาะเข้าระบบของมัน พวกเขาไม่ได้แค่เข้าถึงข้อมูลขององค์กรเดียว แต่เข้าถึงคลังข้อมูลกลางที่สัมผัสกับภาคส่วนกว้างขวางของอุตสาหกรรมสุขภาพทั้งหมด

การรั่วไหลครั้งนี้ดำเนินตามรูปแบบที่พบได้ทั่วไปในเหตุการณ์แรนซัมแวร์ขนาดใหญ่: ผู้โจมตีเข้าถึงครั้งแรก เคลื่อนที่ภายในระบบภายใน ระบุและดูดข้อมูลที่ละเอียดอ่อนออกไป แล้วจึงติดตั้งแรนซัมแวร์เพื่อขัดขวางการดำเนินงาน การหยุดชะงักทางปฏิบัติการเพียงอย่างเดียวทำให้เกิดปัญหาลูกโซ่ทั่วทั้งภาคส่วนสุขภาพ โดยผู้ให้บริการไม่สามารถดำเนินการเคลมได้เป็นเวลาหลายสัปดาห์ แต่ความเสียหายระยะยาวคือการเปิดเผยบันทึกสุขภาพ ข้อมูลประกัน และตัวระบุส่วนบุคคลสำหรับผู้คนเกือบ 193 ล้านคน

ความเสี่ยงจากผู้ให้บริการบุคคลที่สามเช่นนี้ไม่ได้เกิดขึ้นเฉพาะกับ Change Healthcare เท่านั้น การรั่วไหลของ TriZetto ซึ่งเปิดเผยบันทึกผู้ป่วย 3.4 ล้านรายการ ก็ดำเนินตามรูปแบบที่คล้ายกัน โดยผู้โจมตีมุ่งเป้าไปที่ตัวกลางด้านเทคโนโลยีสุขภาพแทนที่จะโจมตีโรงพยาบาลโดยตรง เมื่อผู้ให้บริการรายเดียวให้บริการลูกค้าด้านสุขภาพหลายร้อยราย การบุกรุกสำเร็จเพียงครั้งเดียวสามารถกระจายผลกระทบเป็นระลอกไปยังผู้คนนับล้านที่ไม่เคยมีปฏิสัมพันธ์โดยตรงกับบริษัทที่ถูกละเมิดเลย

เพราะเหตุใดระบบสาธารณสุขจึงเป็นเป้าหมายที่ถูกโจมตีอย่างต่อเนื่อง

องค์กรด้านสาธารณสุขกลายเป็นหนึ่งในภาคส่วนที่ถูกละเมิดบ่อยที่สุดด้วยเหตุผลหลายประการที่เชื่อมโยงกัน บันทึกสุขภาพประกอบด้วยข้อมูลส่วนบุคคล การเงิน และการแพทย์ที่หนาแน่นเป็นพิเศษ ทำให้มีมูลค่าสำหรับอาชญากรมากกว่าบันทึกทางการเงินทั่วไป ในขณะเดียวกัน องค์กรสุขภาพหลายแห่งดำเนินงานด้วยกำไรที่ต่ำ พึ่งพาโครงสร้างพื้นฐานแบบเก่า และเผชิญแรงกดดันด้านกฎระเบียบและการดำเนินงานที่อาจทำให้การปรับปรุงความปลอดภัยล่าช้า

ขนาดของการรั่วไหลของ Change Healthcare นั้นรุนแรงมาก แต่ความถี่ของการรั่วไหลของข้อมูลสุขภาพนั้นไม่ใช่เรื่องผิดปกติ เหตุการณ์ที่ส่งผลกระทบต่อประชากรผู้ป่วยจำนวนมากได้รับการบันทึกอย่างต่อเนื่องในช่วงหลายปีที่ผ่านมา ตั้งแต่ระบบสุขภาพสาธารณะขนาดใหญ่ไปจนถึงผู้ให้บริการเฉพาะทางขนาดเล็ก การรั่วไหลของ NYC Health and Hospitals ซึ่งเปิดเผยลายนิ้วมือ 1.8 ล้านรายการ แสดงให้เห็นว่าแม้แต่ข้อมูลชีวภาพที่ถือครองโดยสถาบันของรัฐก็สามารถถูกบุกรุกได้เมื่อเครือข่ายของผู้ให้บริการบุคคลที่สามไม่ได้รับการรักษาความปลอดภัยอย่างเพียงพอ

รูปแบบที่พบในเหตุการณ์เหล่านี้มีความสอดคล้องกัน: ผู้โจมตีค้นหาจุดอ่อน ซึ่งมักเกิดจากข้อมูลประจำตัวที่ถูกบุกรุก ระบบที่ไม่ได้รับการอัปเดตแพตช์ หรือการเข้าถึงระยะไกลที่รักษาความปลอดภัยไม่เพียงพอ จากนั้นก็เคลื่อนที่ผ่านเครือข่ายที่ไม่ได้ถูกสร้างมาเพื่อสกัดกั้นผู้บุกรุกที่มุ่งมั่น

สิ่งนี้หมายถึงอะไรสำหรับคุณ

หากคุณได้รับการดูแลสุขภาพในสหรัฐอเมริกา ณ เวลาใดเวลาหนึ่งก่อนหรือระหว่างปี 2024 มีโอกาสที่สำคัญที่ข้อมูลของคุณเป็นหนึ่งในบันทึกที่ถูกเปิดเผยในการรั่วไหลของ Change Healthcare ข้อมูลที่ได้รับผลกระทบมีรายงานว่ารวมถึงชื่อ ที่อยู่ หมายเลขประกันสังคม ข้อมูลการประกัน และในหลายกรณีรวมถึงบันทึกทางการแพทย์โดยละเอียด

สำหรับผู้ป่วย นั่นหมายความว่าความเสี่ยงไม่ใช่แค่การขโมยข้อมูลประจำตัวเท่านั้น แต่ยังรวมถึงศักยภาพในการฉ้อโกงทางประกัน การโจมตีฟิชชิ่งแบบเจาะจงโดยใช้รายละเอียดสุขภาพส่วนบุคคล และการเปิดเผยประวัติทางการแพทย์ที่ละเอียดอ่อนในระยะยาว ข้อมูลสุขภาพนั้นไม่สามารถเปลี่ยนแปลงได้ต่างจากหมายเลขบัตรเครดิต

สำหรับบุคลากรและผู้บริหารระบบสาธารณสุข การรั่วไหลครั้งนี้เป็นเครื่องเตือนใจที่ชัดเจนว่าความปลอดภัยของข้อมูลผู้ป่วยไม่ได้ขึ้นอยู่กับการป้องกันขององค์กรตนเท่านั้น แต่ยังขึ้นอยู่กับผู้ขายและพันธมิตรทุกรายที่เชื่อมต่อกับระบบ การรั่วไหลที่เชื่อมโยงกับผู้ให้บริการบุคคลที่สามยังคงครองสัดส่วนที่สำคัญในเหตุการณ์ด้านสุขภาพ และกรณีของ Change Healthcare ทำให้เกิดคำถามเร่งด่วนเกี่ยวกับว่าความสัมพันธ์เหล่านั้นได้รับการตรวจสอบและเฝ้าติดตามอย่างละเอียดถี่ถ้วนเพียงใด

สำหรับองค์กรด้านสุขภาพโดยเฉพาะ การรั่วไหลครั้งนี้เน้นย้ำถึงหลายประเด็นที่ควรตรวจสอบ:

  • การควบคุมการเข้าถึงของบุคคลที่สาม: ผู้ให้บริการที่สามารถเข้าถึงระบบภายในควรได้รับการตรวจสอบอย่างเข้มงวดเช่นเดียวกับผู้ใช้ภายใน รวมถึงนโยบายข้อมูลประจำตัวที่เคร่งครัดและการแบ่งส่วนเครือข่ายที่จำกัดว่าจุดเชื่อมต่อเดียวสามารถเข้าถึงได้ไกลแค่ไหน
  • ความปลอดภัยการเข้าถึงระยะไกล: VPN ที่มีการบังคับใช้การตรวจสอบสิทธิ์แบบหลายปัจจัยเป็นการป้องกันขั้นพื้นฐานสำหรับการเข้าถึงระบบภายในจากระยะไกล การรั่วไหลของ Change Healthcare แสดงให้เห็นว่าข้อมูลประจำตัวที่ถูกบุกรุกอาจเป็นทางเข้า แต่ VPN เพียงอย่างเดียวไม่ใช่การป้องกันที่สมบูรณ์ ต้องใช้งานร่วมกับการแบ่งส่วน การเฝ้าติดตาม และความสามารถในการตอบสนอง
  • การลดขนาดข้อมูล: องค์กรควรตรวจสอบว่าพวกเขาแบ่งปันข้อมูลใดกับผู้ให้บริการบุคคลที่สามบ้าง โดยเก็บรักษาและส่งผ่านเฉพาะข้อมูลที่จำเป็นต่อการดำเนินงานเท่านั้น

ควรทำความเข้าใจให้ชัดเจนว่าเครื่องมือความปลอดภัยอย่าง VPN สามารถและไม่สามารถทำอะไรได้บ้าง VPN ปกป้องช่องทางที่ข้อมูลเดินทางผ่าน โดยเฉพาะสำหรับผู้ปฏิบัติงานทางไกลที่เข้าถึงระบบทางคลินิก หรือสำหรับการสื่อสารทางโทรเวชที่ต้องคงความเป็นส่วนตัว พวกมันถือเป็นชั้นการป้องกันที่มีความหมายสำหรับบุคลากรด้านสุขภาพที่ทำงานอยู่นอกเครือข่ายทางคลินิก แต่การรั่วไหลของ Change Healthcare ไม่ใช่ความล้มเหลวด้านความปลอดภัยการเข้าถึงระยะไกลเป็นหลัก แต่มันเกี่ยวข้องกับปัญหาระบบที่ลึกกว่าเกี่ยวกับสถาปัตยกรรมเครือข่ายและการเคลื่อนที่ภายในเครือข่าย ซึ่งเป็นปัญหาที่ต้องใช้การป้องกันหลายชั้นมากกว่าการใช้เครื่องมือใดเพียงอย่างเดียว

ข้อปฏิบัติที่นำไปใช้ได้จริง

หากคุณเชื่อว่าข้อมูลของคุณอาจได้รับผลกระทบจากการรั่วไหลของ Change Healthcare หรือเหตุการณ์ที่คล้ายกัน มีขั้นตอนที่เป็นรูปธรรมที่ควรดำเนินการ ตรวจสอบใบแจ้งหนี้ประกันสุขภาพของคุณสำหรับการเคลมที่คุณไม่รู้จัก แจ้งเตือนการฉ้อโกงหรืออายัดเครดิตกับสำนักงานเครดิตหลัก ระวังการพยายามฟิชชิ่งที่ใช้รายละเอียดสุขภาพส่วนบุคคลเพื่อทำให้ดูน่าเชื่อถือ

สำหรับบุคลากรและผู้บริหารด้านสุขภาพ บทเรียนจากการรั่วไหลที่ทำลายสถิติในปี 2024 คือความสัมพันธ์กับผู้ให้บริการคือความสัมพันธ์ด้านความปลอดภัย การเชื่อมต่อกับเครือข่ายทางคลินิกจากบุคคลที่สามทุกรายเป็นจุดเข้าที่มีศักยภาพ ซึ่งสมควรได้รับการประเมินอย่างเข้มงวดและต่อเนื่อง ขนาดของสิ่งที่เกิดขึ้นกับ Change Healthcare สะท้อนถึงไม่ใช่แค่ช่องโหว่ของบริษัทเดียว แต่ยังรวมถึงความเสี่ยงที่มาพร้อมกับการสร้างอุตสาหกรรมบนโครงสร้างพื้นฐานที่เชื่อมโยงกันอย่างแน่นหนาแต่มีความแข็งแกร่งด้านความปลอดภัยไม่เพียงพอ การจัดการความเสี่ยงเหล่านั้นต้องลงทุนในความปลอดภัยที่ทุกลิงค์ของห่วงโซ่ ไม่ใช่แค่ที่จุดที่มองเห็นได้ชัดเจนที่สุด