สรุปสั้น

บริษัท CareCloud ผู้ให้บริการเทคโนโลยีสารสนเทศด้านการดูแลสุขภาพ กำลังแจ้งเตือนผู้ได้รับผลกระทบอย่างน้อย 350,000 รายว่าข้อมูลของพวกเขาถูกขโมยออกไปในเหตุข้อมูลรั่วไหล เหตุการณ์นี้เกี่ยวข้องกับสภาพแวดล้อมเวชระเบียนอิเล็กทรอนิกส์ภายในแผนก CareCloud Health ซึ่งเกิดการหยุดชะงักขึ้นเมื่อวันที่ 16 มีนาคม 2569 และจากการสอบสวนพบว่าผู้โจมตีเข้าถึงสภาพแวดล้อม AWS หนึ่งชุดของบริษัทในช่วงระหว่างวันที่ 10 ถึง 16 มีนาคม 2569 พร้อมกับมีความเป็นไปได้สูงว่าได้ดึงข้อมูลออกไปจากสภาพแวดล้อมนั้นด้วย

ต่อมาในวันที่ 24 มิถุนายน 2569 การสอบสวนได้ข้อสรุปว่าข้อมูลส่วนบุคคล ข้อมูลทางการเงิน และข้อมูลทางการแพทย์ถูกเข้าถึงในเหตุการณ์ครั้งนี้ ตามที่ระบุในจดหมายแจ้งเตือนซึ่งส่งถึงผู้ที่อาจได้รับผลกระทบ และมีการยื่นสำเนาไว้กับสำนักงานกิจการผู้บริโภคและการกำกับดูแลธุรกิจของรัฐแมสซาชูเซตส์ ประเภทข้อมูลที่อาจได้รับผลกระทบครอบคลุมกว้างมาก ทั้งชื่อ ที่อยู่ หมายเลขประกันสังคม วันเกิด หมายเลขใบขับขี่ หมายเลขบัตรประจำตัวที่ออกโดยรัฐ หมายเลขบัญชีทางการเงิน หมายเลขบัตรเครดิตและบัตรเดบิต ตลอดจนข้อมูลทางการแพทย์และข้อมูลประกันสุขภาพ

ที่น่ากังวลเป็นพิเศษคือบริษัทระบุว่า สำหรับบุคคลจำนวนหนึ่ง ข้อมูลที่ถูกเข้าถึงยังรวมถึงข้อมูลบัตรเครดิตแบบเต็มรูปแบบซึ่งมีรหัส CVV ด้วย แม้บริษัทจะยืนยันว่ายังไม่พบหลักฐานว่าข้อมูลที่ถูกขโมยไปถูกนำไปใช้ในทางมิชอบ ขณะที่ตัวเลข 350,000 รายมาจากเอกสารที่ยื่นต่อสำนักงานอัยการสูงสุดในหลายรัฐ และบริษัทยังไม่ได้เปิดเผยจำนวนผู้ได้รับผลกระทบทั้งหมด รวมถึงรายละเอียดว่าใครคือผู้อยู่เบื้องหลังการโจมตี

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 31 กรกฎาคม 2569 ว่าบริษัท CareCloud กำลังแจ้งเตือนผู้ได้รับผลกระทบอย่างน้อย 350,000 รายเกี่ยวกับการถูกขโมยข้อมูลในเหตุข้อมูลรั่วไหล โดยเหตุการณ์เกิดขึ้นกับสภาพแวดล้อมเวชระเบียนอิเล็กทรอนิกส์ภายในแผนก CareCloud Health ที่เกิดการหยุดชะงักเมื่อวันที่ 16 มีนาคม 2569

การสอบสวนของบริษัทระบุว่าผู้โจมตีเข้าถึงสภาพแวดล้อม AWS หนึ่งชุดในช่วงวันที่ 10 ถึง 16 มีนาคม 2569 และมีแนวโน้มสูงว่าได้ดึงข้อมูลออกไปจากสภาพแวดล้อมดังกล่าว ทั้งนี้ต้องรอถึงวันที่ 24 มิถุนายน 2569 การสอบสวนจึงสรุปได้ว่าข้อมูลส่วนบุคคล ข้อมูลทางการเงิน และข้อมูลทางการแพทย์ ถูกเข้าถึงจริงในเหตุการณ์นี้

บริษัทได้จัดบริการป้องกันการโจรกรรมข้อมูลอัตลักษณ์ บริการเฝ้าระวังเครดิต และบริการช่วยกู้คืนกรณีถูกสวมรอย ให้ผู้ได้รับผลกระทบฟรีนานสูงสุด 24 เดือน พร้อมกรมธรรม์ชดเชยความเสียหายวงเงิน 1 ล้านดอลลาร์สหรัฐ ในแถลงการณ์ บริษัท CareCloud ระบุว่า “CareCloud ได้ว่าจ้างผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยไซเบอร์จากภายนอก และด้วยความช่วยเหลือของพวกเขา เราได้ทำให้สภาพแวดล้อมที่ได้รับผลกระทบปลอดภัย กำจัดภัยคุกคาม และยืนยันแล้วว่าไม่มีการเข้าถึงโดยไม่ได้รับอนุญาตหลงเหลืออยู่ CareCloud ยังคงเดินหน้าเสริมความแข็งแกร่งด้านความปลอดภัยให้กับระบบและสภาพแวดล้อมของเราต่อไป”

จนถึงขณะที่รายงานเผยแพร่ องค์กรด้านการดูแลสุขภาพรายนี้ยังไม่ได้เปิดเผยจำนวนผู้ได้รับผลกระทบทั้งหมด และยังไม่ให้รายละเอียดเกี่ยวกับผู้โจมตีที่อยู่เบื้องหลังเหตุการณ์ ตัวเลขอย่างน้อย 350,000 รายที่ปรากฏจึงมาจากการรวบรวมเอกสารที่ยื่นต่อสำนักงานอัยการสูงสุดในหลายรัฐเท่านั้น ซึ่งหมายความว่าตัวเลขจริงอาจสูงกว่านี้เมื่อการแจ้งเตือนครบทุกเขตอำนาจ

วิธีการโจมตี

รายงานไม่ได้ระบุรายละเอียดเชิงเทคนิคว่าผู้โจมตีเข้าถึงสภาพแวดล้อม AWS ของบริษัทได้อย่างไร ไม่มีการเปิดเผยว่ามีการใช้ช่องโหว่ใด มีการขโมยข้อมูลรับรองหรือไม่ หรือเป็นการตั้งค่าคลาวด์ที่ผิดพลาด สิ่งที่ยืนยันได้จากไทม์ไลน์คือผู้โจมตีมีเวลาอยู่ในระบบราวหกวันก่อนที่สภาพแวดล้อมจะเกิดการหยุดชะงักจนบริษัทสังเกตเห็นความผิดปกติ

สิ่งที่ไทม์ไลน์บอกเราอีกอย่างคือช่องว่างระหว่างวันที่เกิดเหตุกับวันที่ยืนยันขอบเขตความเสียหาย การบุกรุกเกิดขึ้นกลางเดือนมีนาคม 2569 แต่กว่าจะสรุปได้ว่าข้อมูลประเภทใดถูกกระทบก็ล่วงเลยไปถึงวันที่ 24 มิถุนายน 2569 หรือราวสามเดือนเศษ ระยะเวลาที่ยาวเช่นนี้เป็นเรื่องที่พบได้บ่อยในเหตุการณ์ที่ข้อมูลกระจายอยู่ในหลายที่เก็บบนคลาวด์ และเป็นช่วงที่ผู้เสียหายยังไม่รู้ตัวว่าต้องเฝ้าระวังบัญชีของตนเอง

การที่ผู้โจมตีมุ่งเป้าไปยังสภาพแวดล้อมเวชระเบียนอิเล็กทรอนิกส์โดยตรงยังสะท้อนว่าเป้าหมายคือชุดข้อมูลที่มีมูลค่าสูงในตลาดใต้ดิน เพราะข้อมูลสุขภาพผูกกับข้อมูลระบุตัวตนที่เปลี่ยนไม่ได้อย่างวันเกิด หมายเลขประกันสังคม และหมายเลขบัตรประจำตัว ต่างจากรหัสผ่านหรือหมายเลขบัตรเครดิตที่ยังเปลี่ยนใหม่ได้

ผลกระทบ

ข้อมูลชุดที่รั่วในกรณีนี้ถือว่าครบเครื่องเกือบทุกอย่างที่ผู้ไม่หวังดีต้องการสำหรับการสวมรอยตัวตน เพราะมีทั้งชื่อ ที่อยู่ วันเกิด หมายเลขประกันสังคม หมายเลขใบขับขี่ และหมายเลขบัตรประจำตัวที่ออกโดยรัฐ อยู่ในชุดเดียวกัน เมื่อบวกกับหมายเลขบัญชีการเงินและข้อมูลบัตรเครดิตที่บางรายหลุดถึงระดับ CVV ความเสี่ยงจึงไม่ได้จบที่การถูกรูดบัตร แต่ลามไปถึงการเปิดบัญชีใหม่ในชื่อของเหยื่อ การยื่นเคลมประกันปลอม และการฉ้อโกงบริการทางการแพทย์ในนามผู้อื่น ซึ่งแก้ไขยากกว่าและใช้เวลานานกว่ามาก

สำหรับองค์กรด้านสุขภาพในประเทศอื่นรวมถึงไทย บทเรียนที่นำไปใช้ได้ทันทีคือ ผู้ให้บริการเทคโนโลยีที่ดูแลเวชระเบียนแทนสถานพยาบาลกลายเป็นจุดรวมความเสี่ยงขนาดใหญ่ เพราะการเจาะผู้ให้บริการรายเดียวเท่ากับเข้าถึงข้อมูลผู้ป่วยจากสถานพยาบาลจำนวนมากพร้อมกัน โรงพยาบาลและคลินิกที่ใช้บริการภายนอกในการเก็บหรือประมวลผลเวชระเบียนจึงควรตรวจสอบว่าสัญญาระบุหน้าที่การแจ้งเหตุ ระยะเวลาแจ้ง และสิทธิ์ในการเข้าถึงล็อกเพื่อสอบสวนไว้ชัดเจนเพียงใด เพราะเมื่อเกิดเหตุขึ้นจริง หน้าที่ต่อเจ้าของข้อมูลตามกฎหมายยังคงอยู่ที่ผู้ควบคุมข้อมูล ไม่ได้โอนไปกับการจ้างงานภายนอก

คำแนะนำ

  • ผู้ที่ได้รับจดหมายแจ้งเตือนควรลงทะเบียนใช้บริการเฝ้าระวังเครดิตและป้องกันการสวมรอยที่บริษัทจัดให้ และพิจารณาอายัดเครดิตกับหน่วยงานเครดิตบูโรเพื่อกันการเปิดบัญชีใหม่ในชื่อตนเอง
  • ผู้ที่ได้รับแจ้งว่าข้อมูลบัตรเครดิตหลุดแบบเต็มรูปแบบรวมถึง CVV ควรติดต่อธนาคารเพื่อออกบัตรใหม่ทันที ไม่ควรรอจนเห็นรายการผิดปกติ
  • ระวังอีเมล สายโทรศัพท์ หรือข้อความที่อ้างชื่อสถานพยาบาลหรือบริษัทประกัน เพราะข้อมูลสุขภาพที่รั่วมักถูกใช้เพิ่มความน่าเชื่อถือให้การหลอกลวงในระยะถัดไป
  • องค์กรด้านสุขภาพควรทบทวนสิทธิ์เข้าถึงสภาพแวดล้อมคลาวด์ที่เก็บเวชระเบียน เปิดใช้การยืนยันตัวตนหลายปัจจัยกับทุกบัญชีที่มีสิทธิ์บริหารจัดการ และจำกัดสิทธิ์ตามหลักการให้น้อยที่สุดเท่าที่จำเป็น
  • เปิดการเก็บล็อกการเข้าถึงและการถ่ายโอนข้อมูลออกจากที่เก็บข้อมูลบนคลาวด์ พร้อมตั้งการแจ้งเตือนเมื่อมีการอ่านข้อมูลปริมาณมากผิดปกติ เพื่อลดช่วงเวลาที่ผู้บุกรุกอยู่ในระบบโดยไม่ถูกตรวจพบ
  • กำหนดข้อตกลงกับผู้ให้บริการภายนอกให้ชัดเจนเรื่องหน้าที่แจ้งเหตุ ระยะเวลาแจ้ง การเก็บรักษาหลักฐาน และสิทธิ์ในการเข้าถึงล็อกเพื่อสอบสวน ก่อนที่เหตุการณ์จะเกิดขึ้นจริง

แหล่งอ้างอิง