Công Ty Công Nghệ Y Tế Xác Nhận Truy Cập Trái Phép Kéo Dài
CareCloud, một công ty cung cấp dịch vụ hồ sơ sức khỏe điện tử cho các nhà cung cấp dịch vụ y tế, đã bắt đầu chính thức thông báo cho hàng trăm nghìn bệnh nhân rằng dữ liệu y tế của họ đã bị đánh cắp trong một vụ xâm phạm vào đầu năm nay. Theo công ty, tin tặc đã có quyền truy cập vào một trong các kho dữ liệu hồ sơ sức khỏe điện tử của hãng trong ít nhất sáu ngày, từ ngày 10 tháng 3 đến ngày 16 tháng 3, trước khi vụ xâm nhập bị phát hiện và ngăn chặn.
Thông báo được đưa ra nhiều tháng sau chính sự việc, một khoảng cách thời gian thường thấy trong các vụ xâm phạm dữ liệu y tế bởi các công ty thường cần thời gian để điều tra phạm vi truy cập trái phép, làm việc với các chuyên viên điều tra kỹ thuật số và chuẩn bị các thông báo pháp lý trước khi liên hệ với những cá nhân bị ảnh hưởng. Tuy nhiên, đối với bệnh nhân, sự chậm trễ đó có nghĩa là thông tin sức khỏe cá nhân có thể đã bị phát tán hoặc gặp rủi ro trong một thời gian dài trước khi họ được thông báo.
Một Tình Tiết Bất Thường: Tin Tặc Chia Sẻ Bằng Chứng
Điều khiến vụ việc này khác biệt so với nhiều vụ xâm phạm dữ liệu y tế khác là cách kẻ tấn công tiếp cận CareCloud. Công ty cho biết một tin tặc đã nhận trách nhiệm về vụ xâm nhập và đáng chú ý là đã chia sẻ các mẫu dữ liệu bị đánh cắp trực tiếp với công ty cùng với yêu cầu tiền chuộc để ngăn thông tin bị công bố trực tuyến. Chia sẻ mẫu dữ liệu như một đòn bẩy không phải là tiêu chuẩn của các tác nhân ransomware hay tống tiền, những kẻ thường đe dọa công bố các tập tin bị đánh cắp mà không đưa ra bằng chứng trước. Chi tiết đó cho thấy kẻ tấn công muốn nhanh chóng thiết lập uy tín, có lẽ nhằm gây áp lực buộc CareCloud trả tiền thay vì mạo hiểm một cuộc thương lượng kéo dài.
Mặc dù vậy, chưa có nhóm ransomware hay băng đảng tống tiền nào có tiếng công khai nhận trách nhiệm về vụ xâm phạm. Sự mơ hồ này không phải là bất thường trong bối cảnh đe dọa hiện nay, khi các tác nhân đơn độc, nhóm nhỏ hoặc các chi nhánh hoạt động bên ngoài một thương hiệu ransomware quen thuộc ngày càng thực hiện các cuộc tấn công mà không công bố trên các trang rò rỉ thường được các hoạt động tội phạm mạng lớn hơn sử dụng. Việc không có tuyên bố công khai không nhất thiết làm giảm mức độ nghiêm trọng của sự phơi nhiễm, nó chỉ khiến việc quy trách nhiệm và giám sát trở nên khó khăn hơn đối với các nhà điều tra và bệnh nhân bị ảnh hưởng.
Đợt thông báo này diễn ra sau một tiết lộ trước đó trong năm nay, trong đó CareCloud xác nhận tin tặc đã truy cập hồ sơ y tế của bệnh nhân liên quan đến cùng một sự cố an ninh rộng lớn hơn. Việc triển khai gửi thông báo đến hàng trăm nghìn cá nhân thể hiện giai đoạn tiếp theo của quy trình tiết lộ đó, khi công ty xử lý từng chi tiết về việc dữ liệu của ai bị ảnh hưởng và những loại thông tin nào đã bị phơi nhiễm.
Tại Sao Các Vụ Xâm Phạm Dữ Liệu Y Tế Mang Đến Rủi Ro Lớn Hơn
Hồ sơ sức khỏe điện tử thường chứa một hỗn hợp các thông tin có độ nhạy cảm cao: tên, ngày sinh, số An sinh Xã hội, chi tiết bảo hiểm, lịch sử chẩn đoán và điều trị, và đôi khi cả dữ liệu thanh toán hoặc tài chính. Không giống như mật khẩu bị xâm phạm, loại thông tin này không thể đơn giản được thiết lập lại. Trộm cắp danh tính y tế, gian lận bảo hiểm và các chiến dịch lừa đảo có chủ đích đều là những hậu quả thực tế khi loại dữ liệu này rơi vào tay kẻ xấu, và các tác động có thể xuất hiện nhiều tháng hoặc thậm chí nhiều năm sau vụ xâm phạm ban đầu.
Các nhà cung cấp công nghệ y tế như CareCloud ở một vị trí đặc biệt nhạy cảm vì họ xử lý và lưu trữ dữ liệu thay mặt cho nhiều tổ chức cung cấp dịch vụ, có nghĩa là một vụ xâm phạm duy nhất tại một nhà cung cấp có thể lan truyền đến bệnh nhân trên khắp nhiều phòng khám và hệ thống bệnh viện khác nhau mà chưa bao giờ tương tác trực tiếp với công ty bị xâm phạm. Như đã đưa tin trước đây, quy mô phơi nhiễm của CareCloud đã ảnh hưởng đến hàng triệu hồ sơ bệnh nhân trên toàn bộ cơ sở khách hàng của họ, nhấn mạnh rủi ro tập trung trở nên như thế nào khi rất nhiều dữ liệu y tế chảy qua một số ít nhà cung cấp công nghệ.
Điều Này Có Ý Nghĩa Gì Với Bạn
Nếu bạn đã nhận, hoặc sau này nhận được, một lá thư thông báo từ CareCloud, hãy xem xét nó một cách nghiêm túc ngay cả khi ngôn từ có vẻ thường lệ. Đọc kỹ lá thư để hiểu chính xác những loại thông tin nào của bạn có liên quan, vì không phải mọi cá nhân được thông báo đều có cùng dữ liệu bị phơi nhiễm. Nếu số An sinh Xã hội hoặc mã định danh bảo hiểm được bao gồm, hãy cân nhắc đặt cảnh báo gian lận hoặc đóng băng tín dụng với các văn phòng tín dụng lớn. Theo dõi chặt chẽ các bản kê bảo hiểm và hóa đơn y tế của bạn để phát hiện các dịch vụ bạn không nhận ra, vì trộm cắp danh tính y tế có thể khó phát hiện hơn so với gian lận tài chính tiêu chuẩn. Hãy thận trọng với bất kỳ email, cuộc gọi hoặc tin nhắn tiếp theo nào tự xưng là từ CareCloud hoặc nhà cung cấp dịch vụ y tế của bạn yêu cầu bạn xác minh thông tin cá nhân, vì các thông báo vi phạm thường bị những kẻ lừa đảo khai thác để thực hiện các chiến dịch lừa đảo.
Những Điểm Chính
Quy trình thông báo của CareCloud là một lời nhắc nhở rằng các vụ xâm phạm dữ liệu y tế thường diễn ra theo từng giai đoạn, với sự xâm nhập ban đầu, quá trình điều tra và thông báo cuối cùng cách nhau hàng tháng. Những bệnh nhân bị ảnh hưởng bởi sự cố này nên xem xét kỹ lưỡng mọi thư thông báo, đăng ký dịch vụ theo dõi tín dụng được cung cấp nếu có, và luôn cảnh giác với các liên lạc đáng ngờ đề cập đến lịch sử y tế hoặc thông tin bảo hiểm của họ. Khi các tổ chức y tế tiếp tục phụ thuộc vào các nhà cung cấp công nghệ bên thứ ba để quản lý hồ sơ nhạy cảm, những sự cố như thế này làm nổi bật lý do tại sao sự cảnh giác từ cả phía công ty lẫn bệnh nhân vẫn là điều cần thiết lâu dài sau khi một vụ xâm phạm lần đầu bị phát hiện.
