สรุปสั้น

บริษัท MCBS (Medical Computer Business Services) ผู้ให้บริการจัดการธุรกิจการแพทย์ที่ตั้งอยู่ในเมืองแอตแลนตา สหรัฐอเมริกา ออกมาแจ้งเหตุข้อมูลรั่วไหลครั้งใหญ่ที่กระทบบุคคลมากกว่า 1.2 ล้านราย โดยเหตุการณ์นี้เกิดขึ้นตั้งแต่เดือนกันยายน 2568 เมื่อแฮ็กเกอร์เจาะเข้าระบบและเข้าถึงไฟล์ในช่วงวันที่ 22 ถึง 26 กันยายน ข้อมูลที่อาจถูกขโมยประกอบด้วยชื่อ ที่อยู่ หมายเลขประกันสังคม (SSN) วันเกิด ข้อมูลประกันสุขภาพ และข้อมูลทางการแพทย์ ซึ่งล้วนเป็นข้อมูลอ่อนไหวที่มีมูลค่าสูงในตลาดมืด

MCBS เป็นบริษัทที่ทำหน้าที่บริหารจัดการรอบรายได้และการวางบิลด้านการแพทย์ (medical revenue cycle management) ให้กับองค์กรด้านสุขภาพหลายแห่ง ทำให้การถูกเจาะครั้งนี้ส่งผลกระทบเป็นลูกโซ่ โดยเอกสารแจ้งเตือนของบริษัทระบุชื่อองค์กรด้านสุขภาพที่เป็นลูกค้าซึ่งข้อมูลถูกกระทบถึง 7 แห่ง ขณะที่ระบบติดตามการละเมิดข้อมูลด้านสุขภาพของกระทรวงสาธารณสุขสหรัฐฯ (HHS) ระบุจำนวนผู้ได้รับผลกระทบไว้ที่ 1,261,464 ราย ทั้งนี้กลุ่มแรนซัมแวร์ที่ชื่อ PEAR ได้ออกมาอ้างความรับผิดชอบตั้งแต่ปลายเดือนกันยายน 2568 โดยอ้างว่าขโมยไฟล์ไปมากกว่า 3 เทระไบต์ (TB) และได้นำข้อมูลที่อ้างว่าขโมยมาเปิดให้ดาวน์โหลดแล้ว

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 27 กรกฎาคม 2569 ว่า การละเมิดข้อมูลที่บริษัท MCBS ประสบเมื่อปีที่แล้วส่งผลกระทบต่อบุคคลมากกว่า 1.2 ล้านราย ตามเอกสารแจ้งเตือนที่โพสต์บนเว็บไซต์ของบริษัท ระบุว่า MCBS ตกเป็นเป้าหมายของแฮ็กเกอร์เมื่อเดือนกันยายน 2568 และการสอบสวนพบว่าผู้โจมตีสามารถเข้าถึงระบบได้ในช่วงวันที่ 22 ถึง 26 กันยายน ซึ่งอาจมีการขโมยไฟล์ที่บรรจุข้อมูลส่วนบุคคล ทั้งชื่อ ที่อยู่ หมายเลขประกันสังคม วันเกิด ข้อมูลประกันสุขภาพ และข้อมูลทางการแพทย์

เอกสารแจ้งเตือนของบริษัทซึ่งทำธุรกิจบริหารรอบรายได้และการวางบิลด้านการแพทย์ ได้ระบุชื่อองค์กรด้านสุขภาพ 7 แห่งที่ข้อมูลถูกกระทบจากการโจมตีครั้งนี้ ขณะที่ระบบติดตามการละเมิดข้อมูลด้านสุขภาพของกระทรวงสาธารณสุขสหรัฐฯ แสดงตัวเลขผู้ได้รับผลกระทบจากการแฮ็ก MCBS ไว้ที่ 1,261,464 ราย

กลุ่มแรนซัมแวร์ PEAR ได้ออกมาอ้างความรับผิดชอบต่อการแฮ็ก MCBS เมื่อปลายเดือนกันยายน 2568 โดยอ้างว่าขโมยไฟล์ไปมากกว่า 3 TB ซึ่งรวมถึงข้อมูลการเงินของบริษัทและลูกค้า เอกสารด้านทรัพยากรบุคคลและการดำเนินธุรกิจ ข้อมูลพันธมิตรและผู้ขาย ข้อมูลระบุตัวตนผู้ป่วย (PII) และเวชระเบียน (PHI) รายละเอียดการชำระเงิน ตลอดจนอีเมล และแฮ็กเกอร์ได้นำข้อมูลที่อ้างว่าขโมยมาเปิดให้ดาวน์โหลดแล้ว ทั้งนี้กลุ่ม PEAR เพิ่งปรากฏตัวเมื่อกลางปี 2568 และเว็บไซต์สำหรับปล่อยข้อมูลของกลุ่มขณะนี้มีรายชื่อเหยื่อที่ถูกอ้างแล้วมากกว่า 100 ราย โดยกลุ่มนี้ยังอ้างความรับผิดชอบต่อการแฮ็กบริษัท Motility Software Solutions ที่กระทบ 766,000 ราย และการละเมิด Tri-Century Eye Care ที่กระทบ 200,000 รายอีกด้วย

รายละเอียดการโจมตี

แม้รายงานจะไม่ได้เปิดเผยเทคนิคการเจาะระบบในเชิงลึก แต่รูปแบบของเหตุการณ์สะท้อนพฤติกรรมมาตรฐานของกลุ่มแรนซัมแวร์ยุคใหม่ที่ใช้กลยุทธ์ขู่กรรโชกสองชั้น (double extortion) นั่นคือ นอกจากเข้ารหัสหรือทำให้ระบบใช้งานไม่ได้แล้ว ยังขโมยข้อมูลจำนวนมหาศาลออกไปก่อน เพื่อใช้ข่มขู่ว่าจะเปิดเผยหากเหยื่อไม่ยอมจ่ายค่าไถ่ ในกรณีนี้ กลุ่ม PEAR เลือกโจมตีผู้ให้บริการที่อยู่ “กลางน้ำ” ของระบบสาธารณสุข ซึ่งเป็นจุดที่ข้อมูลผู้ป่วยจากหลายองค์กรไหลมารวมกัน ทำให้การเจาะเพียงจุดเดียวสามารถกวาดข้อมูลของผู้คนได้นับล้านราย

การที่กลุ่ม PEAR เพิ่งเกิดขึ้นกลางปี 2568 แต่มีรายชื่อเหยื่อกว่า 100 รายในเวลาอันสั้น บ่งชี้ว่าเป็นกลุ่มที่เคลื่อนไหวรวดเร็วและมุ่งเป้าไปที่อุตสาหกรรมสุขภาพและบริการทางธุรกิจเป็นพิเศษ เนื่องจากเป็นภาคส่วนที่ถือครองข้อมูลอ่อนไหวจำนวนมากและมักมีแรงกดดันให้ต้องกู้ระบบกลับมาให้บริการโดยเร็ว

ผลกระทบต่อไทย

แม้ MCBS จะเป็นบริษัทในสหรัฐฯ ที่ไม่ได้ให้บริการในไทย แต่กรณีนี้เป็นบทเรียนตรงประเด็นสำหรับระบบสาธารณสุขไทยที่กำลังเปลี่ยนผ่านสู่ดิจิทัล ทั้งโรงพยาบาล คลินิก บริษัทประกันสุขภาพ และผู้ให้บริการวางบิลหรือเคลมประกันที่เป็นบุคคลที่สาม (third-party) ล้วนถือครองเวชระเบียนและข้อมูลส่วนบุคคลของผู้ป่วยจำนวนมาก จุดที่น่ากังวลเป็นพิเศษคือรูปแบบการโจมตีผู้ให้บริการกลางน้ำ เพราะการเจาะผู้รับจ้างบริหารข้อมูลเพียงรายเดียวสามารถทำให้ข้อมูลของโรงพยาบาลหลายแห่งที่เป็นลูกค้ารั่วไหลพร้อมกันได้

ภายใต้พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) ของไทย ข้อมูลสุขภาพจัดเป็นข้อมูลอ่อนไหวที่ต้องได้รับการคุ้มครองเป็นพิเศษ องค์กรด้านสุขภาพและผู้ให้บริการที่เกี่ยวข้องจึงควรถือเหตุการณ์นี้เป็นสัญญาณเตือนให้ทบทวนมาตรการรักษาความปลอดภัยของตนเองและของผู้รับจ้างภายนอกอย่างจริงจัง

คำแนะนำ

องค์กรด้านสุขภาพควรประเมินความเสี่ยงของผู้ให้บริการภายนอก (third-party risk) ที่เข้าถึงข้อมูลผู้ป่วย โดยกำหนดให้คู่สัญญาต้องมีมาตรฐานความปลอดภัยที่ตรวจสอบได้ เข้ารหัสข้อมูลอ่อนไหวทั้งขณะจัดเก็บและส่งผ่าน และจำกัดสิทธิ์การเข้าถึงตามหลักสิทธิ์น้อยที่สุด (least privilege) ควรเปิดใช้การยืนยันตัวตนหลายปัจจัย (MFA) กับทุกบัญชีที่เข้าถึงระบบสำคัญ และมีระบบสำรองข้อมูลแบบออฟไลน์เพื่อรับมือแรนซัมแวร์

นอกจากนี้ควรมีแผนรับมือเหตุการณ์ (incident response plan) และแผนแจ้งเตือนผู้ได้รับผลกระทบตามกฎหมาย PDPA รวมถึงเฝ้าระวังเว็บไซต์ปล่อยข้อมูลของกลุ่มแรนซัมแวร์เพื่อตรวจสอบว่าข้อมูลขององค์กรถูกนำไปเผยแพร่หรือไม่ สำหรับผู้ป่วยที่กังวลว่าข้อมูลอาจรั่ว ควรเฝ้าระวังการนำข้อมูลไปใช้แอบอ้างตัวตนและการหลอกลวงที่อ้างอิงข้อมูลสุขภาพเป็นพิเศษ

แหล่งอ้างอิง