สรุปสั้น
บริษัท DentaQuest ผู้บริหารสิทธิประโยชน์ด้านทันตกรรมและการมองเห็นรายใหญ่ของสหรัฐฯ กำลังแจ้งเตือนผู้คนหลายล้านรายว่าข้อมูลส่วนบุคคลและข้อมูลสุขภาพช่องปากของพวกเขาอาจถูกขโมยไปในเหตุการละเมิดข้อมูล โดยเหตุการณ์นี้ถูกตรวจพบเมื่อวันที่ 20 พฤษภาคม 2569 และการสอบสวนพบว่าแฮ็กเกอร์สามารถเข้าถึงเครือข่ายขององค์กรได้ในช่วงวันที่ 17 ถึง 20 พฤษภาคม ในช่วงเวลาดังกล่าว ผู้โจมตีเข้าถึงข้อมูลหลากหลายประเภท ทั้งชื่อ ที่อยู่ หมายเลขประกันสังคม หมายเลขสมาชิก หมายเลข Medicaid และ Medicare ชื่อผู้ให้บริการสิทธิประโยชน์ การวินิจฉัยโรค รายละเอียดการรักษา และข้อมูลการวางบิล
DentaQuest ซึ่งเป็นบริษัทลูกของ Sun Life ที่ให้บริการแก่ผู้คน 35 ล้านคนใน 50 รัฐ ถือเป็นหนึ่งในผู้บริหารสิทธิประโยชน์ด้านทันตกรรมรายใหญ่ที่สุดของสหรัฐฯ ตามเอกสารที่ยื่นต่อสำนักงานอัยการสูงสุดในรัฐเท็กซัส แมสซาชูเซตส์ และเซาท์แคโรไลนา บริษัทกำลังส่งจดหมายแจ้งเตือนไปยังผู้ได้รับผลกระทบอย่างน้อย 4.5 ล้านราย แต่ตามข้อมูลของ HIPAA Journal มีบุคคลมากกว่า 23.4 ล้านรายที่อาจได้รับผลกระทบจากการละเมิดครั้งนี้ โดย DentaQuest ยืนยันแล้วว่ามีผู้ได้รับผลกระทบอย่างน้อย 15 ล้านราย ทั้งนี้กลุ่มขู่กรรโชกชื่อดัง ShinyHunters ได้ออกมาอ้างความรับผิดชอบ และปล่อยข้อมูลที่อ้างว่าขโมยมาราว 234 กิกะไบต์ (GB)
รายละเอียดข่าว
เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 27 กรกฎาคม 2569 ว่า บริษัท DentaQuest กำลังแจ้งเตือนผู้คนหลายล้านรายถึงเหตุการละเมิดข้อมูล โดยเหตุการณ์ถูกค้นพบเมื่อวันที่ 20 พฤษภาคม และการสอบสวนของบริษัทระบุว่าแฮ็กเกอร์เข้าถึงเครือข่ายได้ในช่วงวันที่ 17 ถึง 20 พฤษภาคม ในช่วงเวลานั้นผู้โจมตีเข้าถึงข้อมูลทั้งชื่อ ที่อยู่ หมายเลขประกันสังคม หมายเลขสมาชิก หมายเลข Medicaid และ Medicare ชื่อผู้ให้บริการสิทธิประโยชน์ การวินิจฉัย รายละเอียดการรักษา และข้อมูลการวางบิล
DentaQuest กำลังมอบบริการเฝ้าระวังเครดิต ให้คำปรึกษาเรื่องการฉ้อโกง และบริการฟื้นฟูตัวตนกรณีถูกขโมยข้อมูลฟรีเป็นเวลา 24 เดือนให้แก่ผู้ได้รับผลกระทบ ตามเอกสารที่ยื่นต่อสำนักงานอัยการสูงสุดในหลายรัฐ บริษัทกำลังส่งจดหมายแจ้งเตือนไปยังผู้คนอย่างน้อย 4.5 ล้านราย อย่างไรก็ตาม ตามรายงานของ HIPAA Journal มีบุคคลมากกว่า 23.4 ล้านรายที่อาจได้รับผลกระทบ และมีรายงานว่า DentaQuest ยืนยันแล้วว่ามีผู้ได้รับผลกระทบอย่างน้อย 15 ล้านราย
แม้องค์กรจะไม่ได้เปิดเผยรายละเอียดเกี่ยวกับผู้อยู่เบื้องหลังการโจมตี แต่กลุ่มขู่กรรโชกชื่อกระฉ่อนอย่าง ShinyHunters ได้ออกมาอ้างความรับผิดชอบต่อเหตุการณ์นี้ และปล่อยข้อมูลที่อ้างว่าขโมยมาจากผู้บริหารสิทธิประโยชน์ทันตกรรมรายนี้ราว 234 GB โดยเว็บไซต์แจ้งเตือนการละเมิดข้อมูล HaveIBeenPwned ระบุเมื่อต้นเดือนมิถุนายนว่า ข้อมูลที่รั่วยังรวมถึงที่อยู่อีเมล หมายเลขโทรศัพท์ วันเกิด และเอกสารระบุตัวตนที่ออกโดยรัฐอีกด้วย
รายละเอียดการโจมตี
แม้ DentaQuest จะไม่เปิดเผยวิธีการเจาะระบบ แต่การที่กลุ่ม ShinyHunters ออกมาอ้างความรับผิดชอบสอดคล้องกับรูปแบบการโจมตีของกลุ่มนี้ ที่เน้นการขโมยข้อมูลจำนวนมหาศาลออกไปแล้วข่มขู่ว่าจะเปิดเผยหากไม่ได้รับเงิน (data extortion) มากกว่าการเข้ารหัสระบบด้วยแรนซัมแวร์แบบดั้งเดิม กลุ่ม ShinyHunters เป็นที่รู้จักจากการเจาะฐานข้อมูลขนาดใหญ่ขององค์กรระดับโลกหลายแห่งและนำข้อมูลไปประกาศขายหรือปล่อยบนเว็บไซต์ใต้ดิน
ความรุนแรงของกรณีนี้อยู่ที่ปริมาณและความอ่อนไหวของข้อมูล เพราะข้อมูลสุขภาพ หมายเลขประกันสังคม และเอกสารระบุตัวตนที่ออกโดยรัฐ เป็นชุดข้อมูลที่สามารถนำไปใช้ขโมยตัวตน (identity theft) เปิดบัญชีปลอม หรือหลอกลวงทางการเงินได้ในระยะยาว การที่ตัวเลขผู้ได้รับผลกระทบอาจสูงถึง 23 ล้านราย ทำให้เหตุการณ์นี้เป็นหนึ่งในการละเมิดข้อมูลด้านสุขภาพที่ใหญ่ที่สุดครั้งหนึ่ง
ผลกระทบต่อไทย
แม้ DentaQuest จะให้บริการเฉพาะในสหรัฐฯ แต่เหตุการณ์นี้ตอกย้ำถึงมูลค่ามหาศาลของข้อมูลสุขภาพในสายตาแฮ็กเกอร์ และความเสี่ยงที่องค์กรด้านสุขภาพและประกันของไทยกำลังเผชิญเช่นกัน โดยเฉพาะบริษัทประกันสุขภาพ ผู้ให้บริการทันตกรรม และผู้บริหารสิทธิประโยชน์ที่รวมข้อมูลผู้เอาประกันจำนวนมากไว้ในที่เดียว ซึ่งหากถูกเจาะเพียงจุดเดียวก็อาจทำให้ข้อมูลของผู้คนจำนวนมหาศาลรั่วไหลพร้อมกัน
กลุ่ม ShinyHunters เองก็เป็นภัยที่จับต้องได้สำหรับไทย เพราะเป็นกลุ่มที่เคลื่อนไหวเจาะองค์กรระดับโลกอย่างต่อเนื่องและไม่เลือกภูมิภาค องค์กรไทยที่ถือครองข้อมูลอ่อนไหวจำนวนมากจึงควรถือเหตุการณ์นี้เป็นเครื่องเตือนใจให้ยกระดับการปกป้องข้อมูลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) อย่างจริงจัง
คำแนะนำ
องค์กรด้านสุขภาพและประกันควรเข้ารหัสข้อมูลอ่อนไหวทั้งขณะจัดเก็บและส่งผ่าน จำกัดสิทธิ์การเข้าถึงฐานข้อมูลขนาดใหญ่ตามหลักสิทธิ์น้อยที่สุด และเปิดใช้การยืนยันตัวตนหลายปัจจัย (MFA) กับทุกบัญชีที่เข้าถึงระบบสำคัญ ควรมีระบบตรวจจับการดึงข้อมูลออกในปริมาณผิดปกติ (data exfiltration detection) เพราะการโจมตีลักษณะนี้มักขโมยข้อมูลจำนวนมหาศาลออกไปในช่วงเวลาสั้นๆ
นอกจากนี้ควรมีแผนรับมือเหตุการณ์และการแจ้งเตือนผู้ได้รับผลกระทบตามกฎหมาย PDPA รวมถึงเฝ้าระวังเว็บไซต์ปล่อยข้อมูลของกลุ่มขู่กรรโชก สำหรับผู้ที่กังวลว่าข้อมูลตนเองอาจรั่ว ควรตรวจสอบผ่านบริการอย่าง HaveIBeenPwned เฝ้าระวังรายการเดินบัญชี และระวังการหลอกลวงที่อ้างอิงข้อมูลสุขภาพหรือข้อมูลส่วนตัวเป็นพิเศษ