แม็คเคสัน หนึ่งในบริษัทจัดจำหน่ายผลิตภัณฑ์ด้านสุขภาพที่ใหญ่ที่สุดในประเทศ ยืนยันว่าประสบเหตุละเมิดข้อมูล หลังจากกลุ่มข่มขู่เรียกค่าไถ่ ShinyHunters อ้างว่าขโมยข้อมูลจำนวนมหาศาลถึง 284 ล้านเรกคอร์ด ซึ่งประกอบด้วยข้อมูลระบุตัวตนส่วนบุคคล (PII) และข้อมูลสุขภาพที่ได้รับการคุ้มครอง (PHI) การยืนยันดังกล่าวเกิดขึ้นในขณะที่มีรายงานว่าเส้นตายที่ผู้โจมตีกำหนดกำลังใกล้เข้ามา ซึ่งเพิ่มแรงกดดันให้กับบริษัทที่เกี่ยวข้องกับห่วงโซ่อุปทานยาและเวชภัณฑ์ของสหรัฐฯ ในสัดส่วนมหาศาล

สิ่งที่ ShinyHunters อ้างว่าขโมยไปจากแม็คเคสัน

ShinyHunters กลุ่มที่รู้จักกันดีในการขโมยข้อมูลขนาดใหญ่และแคมเปญข่มขู่เรียกค่าไถ่ ได้ออกมาอ้างความรับผิดชอบต่อการขโมยข้อมูล 284 ล้านเรกคอร์ดจากระบบของแม็คเคสัน กลุ่มดังกล่าวระบุว่าข้อมูลที่ขโมยไปประกอบด้วย PII เช่น ชื่อและรายละเอียดการติดต่อ ควบคู่ไปกับ PHI ซึ่งเป็นประเภทข้อมูลที่เกี่ยวข้องกับสุขภาพที่ได้รับการคุ้มครองทางกฎหมายเป็นพิเศษภายใต้ข้อบังคับอย่าง HIPAA เนื่องจากแม็คเคสันทำหน้าที่เป็นจุดเชื่อมต่อที่สำคัญระหว่างผู้ผลิตยา ร้านขายยา และผู้ให้บริการด้านสุขภาพ ขอบเขตของข้อมูลที่บริษัทจัดการจึงอาจครอบคลุมเรกคอร์ดของผู้ป่วยที่เชื่อมโยงกับใบสั่งยา คำสั่งซื้อเวชภัณฑ์ และการสื่อสารระหว่างผู้ให้บริการ มากกว่าข้อมูลจากโรงพยาบาลหรือคลินิกแห่งใดแห่งหนึ่ง

ขนาดที่ใหญ่โตของการอ้างสิทธิ์ครั้งนี้ เกือบ 300 ล้านเรกคอร์ด จะทำให้เหตุการณ์นี้จัดอยู่ในกลุ่มการขโมยข้อมูลที่เกี่ยวข้องกับสุขภาพที่ใหญ่ที่สุดในช่วงที่ผ่านมา ณ เวลาที่ยืนยัน แม็คเคสันยอมรับว่าเกิดการละเมิดข้อมูลขึ้น แม้ว่าขอบเขตทั้งหมดของสิ่งที่ถูกเข้าถึงและขโมยจริงจะยังอยู่ระหว่างการสอบสวนของบริษัทก็ตาม

เหตุใดการขโมย PII และ PHI จึงอันตรายกว่าการละเมิดข้อมูลทั่วไป

การละเมิดข้อมูลแต่ละครั้งไม่ได้มีความเสี่ยงเท่ากัน และการรวมกันของ PII และ PHI นั้นน่ากังวลเป็นพิเศษ PII เพียงอย่างเดียว เช่น ชื่อ ที่อยู่ และหมายเลขโทรศัพท์ สามารถเป็นเชื้อเพลิงให้กับการฟิชชิงและการโจรกรรมข้อมูลส่วนตัวได้แล้ว แต่เมื่อมี PHI ซ้อนทับเพิ่มขึ้นมา อาชญากรจะได้ข้อมูลเชิงลึกเกี่ยวกับประวัติการรักษา ใบสั่งยา หรือภาวะสุขภาพของบุคคล ข้อมูลดังกล่าวสามารถนำไปใช้สร้างกลโกงที่น่าเชื่อถือสูง เช่น ประกาศปลอมจากร้านขายยา การเรียกร้องสิทธิ์ประกันภัยฉ้อโกง หรือข้อความฟิชชิงที่เจาะจงเป้าหมายซึ่งอ้างอิงรายละเอียดทางการแพทย์จริงเพื่อให้ดูเหมือนถูกต้อง

PHI ยังเป็นข้อมูลที่เหยื่อเปลี่ยนแปลงได้ยากกว่ารหัสผ่านหรือแม้แต่หมายเลขประกันสังคม ประวัติการวินิจฉัยหรือเรกคอร์ดใบสั่งยาของบุคคลไม่ได้หมดอายุหรือรีเซ็ต ซึ่งหมายความว่าข้อมูลทางการแพทย์ที่ถูกเปิดเผยสามารถยังคงเป็นประโยชน์ต่อผู้ไม่หวังดีได้นานหลายปี นี่เป็นส่วนหนึ่งที่ทำให้ข้อมูลด้านสุขภาพมีราคาสูงในตลาดมืดอย่างต่อเนื่อง และเป็นเหตุผลที่การละเมิดข้อมูลที่บริษัทจัดจำหน่ายยา เครือข่ายโรงพยาบาล และผู้ประกันสุขภาพ มักดึงดูดความสนใจจากกลุ่มข่มขู่เรียกค่าไถ่อย่างต่อเนื่อง

การยืนยันของแม็คเคสันและเส้นตายการข่มขู่ถูกอธิบาย

การยืนยันต่อสาธารณะของแม็คเคสันเป็นไปตามรูปแบบที่คุ้นเคยที่พบในคดีข่มขู่เรียกค่าไถ่ภาคส่วนสุขภาพเมื่อไม่นานมานี้: ผู้คุกคามอ้างว่าขโมยข้อมูลจำนวนมาก กำหนดเส้นตายสำหรับการจ่ายเงินหรือการเปิดเผยข้อมูลต่อสาธารณะ และบริษัทเป้าหมายต้องทำงานเพื่อตรวจสอบและควบคุมเหตุการณ์ภายใต้แรงกดดันจากสาธารณะ นี่ไม่ใช่ครั้งแรกที่แม็คเคสันตกเป็นศูนย์กลางของสถานการณ์ชิงไหวชิงพริบเรื่องการข่มขู่เรียกค่าไถ่ บริษัทยังเคยถูกกล่าวถึงก่อนหน้านี้ในข้อเรียกร้องค่าไถ่แยกต่างหากที่เกี่ยวข้องกับกลุ่ม Rhysida ซึ่งเป็นกรณีที่ชี้ให้เห็นการเปิดเผยต่อการโจมตีแบบข่มขู่เรียกค่าไถ่ของแม็คเคสันอย่างต่อเนื่อง และรูปแบบที่กว้างขึ้นที่บริษัทด้านสุขภาพและห่วงโซ่อุปทานตกเป็นเป้าของกลุ่มเหล่านี้

ในขณะที่แม็คเคสันยืนยันว่าเกิดการละเมิดข้อมูลขึ้น บริษัทยังไม่ได้เปิดเผยรายละเอียดทั้งหมดของข้อมูลที่ถูกขโมยหรือยืนยันตัวเลข 284 ล้านของ ShinyHunters อย่างชัดเจน ความคลาดเคลื่อนระหว่างข้อกล่าวอ้างของผู้โจมตีและการสูญเสียที่ได้รับการยืนยันเป็นเรื่องปกติในสถานการณ์เหล่านี้ และขนาดที่แท้จริงมักจะชัดเจนขึ้นหลังจากการสอบสวนทางนิติเวชเท่านั้น แม้ว่าการละเมิดที่ได้รับการยืนยันเองก็เพียงพอที่จะทำให้ทุกคนที่เคยมีปฏิสัมพันธ์กับร้านขายยา ผู้ให้บริการ หรือช่องทางจัดจำหน่ายที่เกี่ยวข้องกับแม็คเคสันต้องเพิ่มความระมัดระวัง

ขั้นตอนที่ผู้ป่วยและลูกค้าร้านขายยาควรทำตอนนี้

เนื่องจากลักษณะห่วงโซ่อุปทานด้านสุขภาพของธุรกิจแม็คเคสัน ผู้ป่วยจำนวนมากอาจไม่รู้ด้วยซ้ำว่าข้อมูลของตนผ่านระบบของบริษัท เนื่องจากแม็คเคสันมักทำงานเบื้องหลังให้กับร้านขายยาและผู้ให้บริการมากกว่าที่จะโต้ตอบกับผู้ป่วยโดยตรง อย่างไรก็ตาม ยังมีขั้นตอนที่เป็นรูปธรรมที่ควรดำเนินการ:

  • ระวังความพยายามฟิชชิงที่อ้างอิงรายละเอียดทางการแพทย์ ใบสั่งยา หรือชื่อผู้ให้บริการเฉพาะ เนื่องจากสิ่งเหล่านี้อาจบ่งบอกถึงการใช้ PHI ที่ถูกขโมยไปในทางที่ผิด
  • ตรวจสอบใบแจ้งยอดธนาคารและประกันภัยเพื่อหาค่าใช้จ่ายหรือการเรียกร้องสิทธิ์ที่ไม่คุ้นเคยซึ่งถูกยื่นในชื่อของคุณ
  • พิจารณาใช้บริการเฝ้าระวังข้อมูลประจำตัวและข้อมูลในดาร์กเว็บ โดยเฉพาะอย่างยิ่งเมื่อพิจารณาถึงขนาดของเรกคอร์ดที่ ShinyHunters อ้างว่าได้มา
  • ระมัดระวังกับสายโทรศัพท์หรือข้อความที่ไม่พึงประสงค์ที่อ้างว่ามาจากร้านขายยาหรือผู้ให้บริการด้านสุขภาพที่ขอให้ "ยืนยัน" ข้อมูลส่วนบุคคล
  • ติดตามประกาศอย่างเป็นทางการจากแม็คเคสันหรือร้านขายยาที่ได้รับผลกระทบ ซึ่งอาจมีคำแนะนำเฉพาะเมื่อการสอบสวนสรุปผลแล้ว

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

แม้ว่าคุณจะไม่เคยได้ยินชื่อแม็คเคสันมาก่อน บทบาทของบริษัทในฐานะผู้จัดจำหน่ายด้านสุขภาพหมายความว่าข้อมูลของคุณอาจเป็นส่วนหนึ่งของเรกคอร์ดที่ประมวลผลผ่านร้านขายยาหรือผู้ให้บริการที่บริษัทให้การสนับสนุน การละเมิดข้อมูลของแม็คเคสันที่เกี่ยวข้องกับ PHI เป็นเครื่องเตือนใจว่าบริษัทในห่วงโซ่อุปทานด้านสุขภาพ ไม่เพียงแต่โรงพยาบาลและผู้ประกันภัยเท่านั้น เป็นเป้าหมายที่มีมูลค่าสูงสำหรับกลุ่มข่มขู่เรียกค่าไถ่ เนื่องจากปริมาณและความละเอียดอ่อนของข้อมูลที่พวกเขาจัดการ จนกว่าการสอบสวนของแม็คเคสันจะเสร็จสิ้น การปฏิบัติต่อการสื่อสารที่เกี่ยวข้องกับทางการแพทย์ด้วยความระมัดระวังเป็นพิเศษถือเป็นมาตรการป้องกันที่สมเหตุสมผล

การละเมิดข้อมูลของแม็คเคสันตอกย้ำแนวโน้มที่กว้างขึ้น: ผู้โจมตีกำลังกำหนดเป้าหมายไปที่เนื้อเยื่อเชื่อมต่อของระบบสุขภาพมากขึ้น ไม่ใช่เพียงสถาบันที่เห็นได้ชัดเจนที่สุดเท่านั้น สำหรับผู้ป่วย การตอบสนองเชิงปฏิบัติจะเหมือนกันไม่ว่าบริษัทใดจะเป็นผู้จัดการข้อมูลอย่างไม่เหมาะสม: สมมติว่าข้อมูลถูกเปิดเผย เฝ้าระวังตามนั้น และปฏิบัติต่อการติดต่อที่ไม่คาดคิดที่เกี่ยวข้องกับการแพทย์ด้วยความสงสัย การติดตามความคืบหน้าของการสอบสวนของแม็คเคสัน และการทบทวนว่าความพยายามข่มขู่ครั้งก่อนต่อบริษัทดำเนินไปอย่างไร สามารถช่วยให้คุณประเมินความเสี่ยงในโลกแห่งความเป็นจริงและตอบสนองอย่างเหมาะสม แทนที่จะตอบสนองด้วยความตื่นตระหนก