ShinyHunters ขโมยอะไรจาก Abbott และบริษัทด้านสุขภาพอื่นๆ

คลื่นการโจมตีระลอกใหม่ที่เชื่อมโยงกับกลุ่มแฮ็กเกอร์ ShinyHunters ได้พุ่งเป้าไปที่ Abbott บริษัทยักษ์ใหญ่ด้านการดูแลสุขภาพและเภสัชภัณฑ์ที่มีธุรกิจหลากหลาย ส่งผลให้การดำเนินงานที่เกี่ยวข้องกับการวิจัยยารักษามะเร็งต้องหยุดชะงัก ในช่วงเวลาเดียวกับที่มีรายงานข่าว สมาคมผู้กำกับดูแลด้านการประกันภัยแห่งชาติ (NAIC) ได้ยืนยันการละเมิดข้อมูล ซึ่ง ShinyHunters อ้างว่าขโมยข้อมูลไปได้ถึง 3.1TB โดยใช้ประโยชน์จากช่องโหว่ zero-day ของ Oracle นอกจากนี้ Novo Nordisk ผู้ผลิตยา Ozempic และ Wegovy ก็ได้เปิดเผยว่าตนถูกโจมตีทางไซเบอร์ และข้อมูลการทดลองทางคลินิกได้รั่วไหล

เหตุการณ์เหล่านี้ไม่ได้มีขอบเขตหรือการระบุตัวผู้กระทำผิดที่แน่ชัดเหมือนกัน แต่เมื่อนำมารวมกันก็เผยให้เห็นภาพที่น่ากังวล นั่นคือ การละเมิดข้อมูลทางเภสัชกรรมที่เกี่ยวข้องกับ ShinyHunters หรือใช้กลวิธีคล้ายกัน ไม่ใช่เหตุการณ์ที่เกิดขึ้นครั้งเดียวอีกต่อไป แต่มันกำลังกลายเป็นลักษณะเฉพาะที่เกิดขึ้นซ้ำในภาคการดูแลสุขภาพและวิทยาศาสตร์ชีวภาพ ซึ่งกระบวนการวิจัย หน่วยงานกำกับดูแล และผู้ผลิตยา ต่างครอบครองคลังข้อมูลอันมีค่าที่แฮ็กเกอร์เข้าถึงได้ง่ายขึ้นเรื่อยๆ

เหตุใดข้อมูลการทดลองทางคลินิกและเวชระเบียนจึงเป็นเป้าหมายหลักของแฮ็กเกอร์

ข้อมูลการทดลองทางคลินิกมีคุณค่าอย่างยิ่งสำหรับผู้โจมตี เพราะมักรวมถึงตัวระบุผู้ป่วย ประวัติสุขภาพ ข้อมูลทางพันธุกรรม และรายละเอียดเกี่ยวกับการรักษาเชิงทดลองที่ยังอยู่ระหว่างการพิจารณาจากหน่วยงานกำกับดูแล สำหรับบริษัทอย่าง Abbott การละเมิดที่ขัดขวางการวิจัยยารักษามะเร็ง ไม่ได้เป็นแค่ความเสี่ยงต่อการเปิดเผยข้อมูลเท่านั้น แต่ยังอาจทำให้การพัฒนาวิธีการรักษาที่ผู้ป่วยรอคอยต้องล่าช้าออกไปอีกด้วย ส่วนกรณีของ Novo Nordisk การรั่วไหลของข้อมูลการทดลองทางคลินิกที่เกี่ยวข้องกับยาทำเงินอย่าง Ozempic และ Wegovy ยิ่งเพิ่มความเสี่ยงเข้าไปอีก เนื่องจากยาดังกล่าวตกเป็นที่สนใจของสาธารณชนและการเงินอย่างเข้มข้น

การละเมิดข้อมูลของ NAIC สะท้อนให้เห็นความเสี่ยงอีกแบบที่แตกต่างแต่เกี่ยวเนื่องกัน นั่นคือ องค์กรด้านการกำกับดูแลและอุตสาหกรรมที่รวบรวมข้อมูลละเอียดอ่อนจากหลายบริษัท ได้กลายเป็นจุดล้มเหลวเพียงจุดเดียว เมื่อ ShinyHunters อ้างว่าขโมยข้อมูล 3.1TB ผ่านช่องโหว่ zero-day ของ Oracle มันยิ่งตอกย้ำว่าช่องโหว่ที่ยังไม่ได้รับแพตช์เพียงจุดเดียวในซอฟต์แวร์องค์กรที่ใช้กันแพร่หลาย สามารถส่งผลลูกโซ่ไปทั่วทั้งภาคส่วนได้ และกระทบต่อองค์กรที่ไม่ได้มีส่วนโดยตรงในการสร้างข้อบกพร่องนั้นเลย

การละเมิดข้อมูลทางเภสัชกรรมสามารถนำไปสู่การขโมยอัตลักษณ์และการฉ้อโกงประกันภัยได้อย่างไร

เมื่อข้อมูลผู้ป่วยหรือการทดลองทางคลินิกรั่วไหล ผลที่ตามมาขยายวงกว้างไปไกลเกินกว่าบริษัทที่ถูกละเมิด โดยทั่วไปเวชระเบียนมักประกอบด้วยรายละเอียดส่วนบุคคลมากมาย เช่น ชื่อ วันเดือนปีเกิด ภาวะสุขภาพ และบางครั้งอาจมีข้อมูลประกันภัยหรือข้อมูลทางการเงิน เมื่อตกไปอยู่ในมือคนร้าย ข้อมูลเหล่านี้สามารถนำไปใช้เพื่อการขโมยอัตลักษณ์ การยื่นเคลมประกันเท็จ หรือแคมเปญฟิชชิ่งแบบเจาะจงที่ปลอมตัวเป็นผู้ให้บริการด้านสุขภาพหรือผู้ผลิตยา

นี่ไม่ใช่ความเสี่ยงที่มีแค่ในทางทฤษฎี การละเมิดข้อมูลด้านสุขภาพที่ผ่านมาเผยให้เห็นซ้ำแล้วซ้ำเล่าว่าบันทึกข้อมูลที่เปิดเผยนำไปสู่ความเสียหายจริงต่อผู้บริโภคได้อย่างไร การละเมิดข้อมูล Hims & Hers เป็นตัวอย่างหนึ่งที่เปิดเผยข้อมูลสุขภาพที่ได้รับการคุ้มครอง (PHI) และเป็นกรณีศึกษาว่าข้อมูลทางการแพทย์ที่ละเอียดอ่อนอาจถูกบุกรุกได้รวดเร็วเพียงใด รวมถึงขั้นตอนที่ผู้ป่วยที่ได้รับผลกระทบควรดำเนินการในภายหลัง เหตุการณ์ของ Abbott และ NAIC ก็เดินตามรอยที่คล้ายคลึงกัน: เมื่อข้อมูลทางการแพทย์หรือข้อมูลทางคลินิกถูกขโมย ก็ยากที่จะยับยั้งได้ และผู้ที่เกี่ยวข้องมักมองไม่เห็นเลยว่าข้อมูลของตนไปอยู่ที่ใด

ขั้นตอนที่ผู้ป่วยและผู้บริโภคสามารถทำได้เพื่อปกป้องความเป็นส่วนตัวทางการแพทย์

ผู้บริโภคแทบไม่มีอำนาจควบคุมว่าบริษัทยา บริษัทประกัน หรือองค์กรวิจัยจะรักษาความปลอดภัยข้อมูลของตนอย่างไร แต่ก็ยังมีขั้นตอนที่เป็นรูปธรรมซึ่งควรค่าแก่การดำเนินการ หลังการละเมิดข้อมูลทางเภสัชกรรมที่เกี่ยวข้องกับ ShinyHunters หรือผู้กระทำผิดที่คล้ายคลึงกันปรากฏสู่สาธารณะ

ขั้นแรก จับตาดูประกาศแจ้งเตือนการละเมิดข้อมูลจากผู้ให้บริการด้านสุขภาพ บริษัทประกัน หรือผู้สนับสนุนการทดลองทางคลินิกที่คุณเคยมีปฏิสัมพันธ์ด้วย และอย่าละเลยแม้ประกาศนั้นจะดูเป็นกิจวัตรก็ตาม ขั้นที่สอง ตรวจสอบใบแจ้งยอดประกันและบิลค่ารักษาพยาบาลว่ามีค่าใช้จ่ายที่ไม่คุ้นเคยหรือไม่ ซึ่งอาจเป็นสัญญาณเริ่มต้นของการฉ้อโกงประกันโดยใช้รายละเอียดอัตลักษณ์ที่ถูกขโมย ขั้นที่สาม พิจารณาวางการแจ้งเตือนการฉ้อโกง (fraud alert) หรือการอายัดเครดิต (credit freeze) หากข้อมูลทางการเงินเป็นส่วนหนึ่งของข้อมูลที่เปิดเผย และขั้นสุดท้าย จงระแวดระวังสายเรียกเข้าหรืออีเมลที่ไม่พึงประสงค์ซึ่งอ้างถึงการทดลองทางคลินิก ใบสั่งยา หรือภาวะสุขภาพใด ๆ เพราะผู้โจมตีมักใช้ข้อมูลทางการแพทย์ที่รั่วไหลเพื่อทำให้ความพยายามฟิชชิ่งดูน่าเชื่อถือมากขึ้น

สิ่งนี้มีความหมายต่อคุณอย่างไร

หากคุณเคยเข้าร่วมการทดลองทางคลินิก ใช้ยาจากบริษัทอย่าง Novo Nordisk หรือมีความสัมพันธ์ใด ๆ กับผลิตภัณฑ์ด้านสุขภาพของ Abbott ก็สมควรที่จะเฝ้าระวังการแจ้งเตือนการละเมิดข้อมูลอย่างเป็นทางการในอีกไม่กี่สัปดาห์ข้างหน้า รายละเอียดที่แน่ชัดว่าใครได้รับผลกระทบและอย่างไรยังคงอยู่ระหว่างการเปิดเผย แต่รูปแบบของเหตุการณ์เหล่านี้แสดงให้เห็นว่าข้อมูลด้านการดูแลสุขภาพและเภสัชกรรมยังคงเป็นเป้าหมายที่มูลค่าสูง คุณไม่สามารถแพตช์ซอฟต์แวร์ของ Oracle ได้ด้วยตัวเอง หรือรักษาความปลอดภัยระบบภายในของ Abbott ด้วยตนเอง แต่คุณสามารถควบคุมวิธีตอบสนองของคุณได้ เมื่อคุณทราบว่าข้อมูลของคุณอาจมีส่วนเกี่ยวข้อง

ประเด็นสำคัญ

  • ตรวจสอบว่าคุณได้รับการแจ้งเตือนโดยตรงจาก Abbott, Novo Nordisk, NAIC หรือองค์กรที่เกี่ยวข้องเกี่ยวกับการละเมิดนี้หรือไม่
  • ติดตามใบแจ้งยอดทางการแพทย์และประกันอย่างใกล้ชิด เพื่อหากิจกรรมที่ผิดปกติในอีกหลายเดือนข้างหน้า
  • พิจารณาการอายัดเครดิตหรือการแจ้งเตือนการฉ้อโกง หากข้อมูลทางการเงินเป็นส่วนหนึ่งของบันทึกที่เปิดเผย
  • ระมัดระวังความพยายามฟิชชิ่งที่เกี่ยวข้องกับสุขภาพ ซึ่งอ้างอิงถึงการรักษาหรือการเข้าร่วมการทดลองแบบเจาะจง
  • ทบทวนว่ามีการจัดการเหตุการณ์ข้อมูลด้านสุขภาพอื่น ๆ เช่น การละเมิดข้อมูลของ Hims & Hers อย่างไร เพื่อให้เข้าใจว่าผู้ป่วยที่ได้รับผลกระทบควรคาดหวังขั้นตอนปกป้องใดบ้าง