สรุปสั้น
บริษัท Unlimited Technology Systems ผู้ให้บริการซอฟต์แวร์ด้านการเงินและการบริหารวงจรรายได้สำหรับสถานพยาบาลเฉพาะทางในสหรัฐอเมริกา รายงานว่าเหตุข้อมูลรั่วไหลที่เกิดขึ้นตั้งแต่เดือนตุลาคม 2568 ส่งผลกระทบต่อผู้คนมากกว่า 3.8 ล้านราย โดยตัวเลขที่ปรากฏบนพอร์ทัลแจ้งเหตุข้อมูลรั่วของกระทรวงสาธารณสุขและบริการมนุษย์สหรัฐอเมริการะบุชัดว่าเซิร์ฟเวอร์ของบริษัทถูกเจาะ และข้อมูลของผู้คน 3,803,750 รายถูกเปิดเผยต่อบุคคลที่ไม่ได้รับอนุญาต
ไทม์ไลน์ของเหตุการณ์เป็นจุดที่น่าสนใจไม่น้อยกว่าตัวเลขจำนวนผู้เสียหาย เพราะบริษัทตรวจพบกิจกรรมผิดปกติในศูนย์ข้อมูลเชิงพาณิชย์ของตนเมื่อวันที่ 19 ตุลาคม 2568 และการสอบสวนพบว่าผู้บุกรุกเข้าถึงไฟล์ในช่วงเพียง 5 วัน คือระหว่างวันที่ 5 ถึง 10 ตุลาคม 2568 แต่บริษัทเพิ่งเริ่มส่งหนังสือแจ้งเหตุให้ผู้ป่วยที่ได้รับผลกระทบเมื่อวันที่ 1 กรกฎาคม 2569 และในตอนที่ยื่นตัวอย่างหนังสือแจ้งเหตุต่อหน่วยงานกำกับดูแลก็ยังไม่ได้เปิดเผยจำนวนผู้เสียหายที่แน่นอน
ข้อมูลที่อาจถูกเข้าถึงมีขอบเขตกว้างผิดปกติสำหรับเหตุการณ์ในภาคสาธารณสุข ครอบคลุมทั้งชื่อนามสกุลเต็ม เลขประกันสังคม วันเกิด ที่อยู่ อีเมล เบอร์โทรศัพท์ ภาพสแกนใบขับขี่และบัตรประจำตัวที่ออกโดยราชการ บัตรประกัน แบบฟอร์มรับผู้ป่วย เลขกรมธรรม์ประกันสุขภาพ ข้อมูลการเคลมและสิทธิประโยชน์ เลขเวชระเบียน วันที่รับบริการ ตลอดจนข้อมูลการวินิจฉัยโรค ขณะที่ยังไม่มีกลุ่มแรนซัมแวร์หรือกลุ่มรีดทรัพย์รายใดออกมาอ้างความรับผิดชอบต่อสาธารณะ และบริษัทเองก็ยังระบุตัวผู้ก่อเหตุไม่ได้
รายละเอียดข่าว
เว็บไซต์ BleepingComputer รายงานเมื่อวันที่ 7 สิงหาคม 2569 ว่า Unlimited Technology Systems ได้รายงานว่ามีผู้ได้รับผลกระทบจากเหตุข้อมูลรั่วไหลมากกว่า 3.8 ล้านราย จากเหตุการณ์ที่เกิดขึ้นในเดือนตุลาคม 2568 โดยก่อนหน้านี้บริษัทได้ยื่นตัวอย่างหนังสือแจ้งเหตุข้อมูลรั่วต่อหน่วยงานกำกับดูแลเมื่อวันที่ 1 กรกฎาคม 2569 แต่ไม่ได้เปิดเผยจำนวนผู้ได้รับผลกระทบที่แน่นอนในเวลานั้น
ตัวเลขที่ชัดเจนปรากฏขึ้นในภายหลังผ่านรายการบนพอร์ทัลแจ้งเหตุข้อมูลรั่วของกระทรวงสาธารณสุขและบริการมนุษย์สหรัฐอเมริกา ซึ่งระบุว่าเซิร์ฟเวอร์ของบริษัทถูกเจาะและข้อมูลของผู้คน 3,803,750 รายถูกเปิดเผยต่อบุคคลที่ไม่ได้รับอนุญาต การที่ตัวเลขมาจากพอร์ทัลของหน่วยงานกำกับดูแลแทนที่จะมาจากคำแถลงของบริษัทเอง เป็นรูปแบบที่พบซ้ำในเหตุการณ์ภาคสาธารณสุขของสหรัฐอเมริกาหลายกรณี
Unlimited Technology Systems เป็นบริษัทซอฟต์แวร์ที่เชี่ยวชาญด้านเทคโนโลยีการเงินและการบริหารวงจรรายได้ให้กับผู้ให้บริการทางการแพทย์เฉพาะทาง ตามข้อมูลบนเว็บไซต์ของบริษัทระบุว่าให้บริการคลินิก 4,500 แห่ง และผู้ให้บริการทางการแพทย์เฉพาะทาง 6,500 รายทั่วสหรัฐอเมริกา รวมทั้งประมวลผลค่ารักษาพยาบาลสุทธิมากกว่า 70,000 ล้านดอลลาร์สหรัฐต่อปี ขนาดของฐานลูกค้าดังกล่าวอธิบายได้ว่าทำไมเหตุการณ์ที่เกิดกับบริษัทเดียวจึงกระทบผู้ป่วยได้ในระดับหลายล้านราย
สำหรับลำดับเหตุการณ์ บริษัทเปิดเผยเมื่อวันที่ 20 กรกฎาคม 2569 ว่า “เมื่อวันที่ 19 ตุลาคม 2568 Unlimited Technology Systems ตรวจพบกิจกรรมที่ไม่ได้รับอนุญาตภายในศูนย์ข้อมูลเชิงพาณิชย์ของบริษัท และได้เริ่มการสอบสวนด้วยความช่วยเหลือของบริษัทนิติวิทยาศาสตร์ทางไซเบอร์” และระบุต่อว่า “การสอบสวนนั้นสรุปได้ว่าระหว่างวันที่ 5 ตุลาคม 2568 ถึงวันที่ 10 ตุลาคม 2568 ผู้ไม่ได้รับอนุญาตรายหนึ่งเข้าถึงไฟล์และอาจได้รับสำเนาข้อมูลส่วนบุคคลของผู้ป่วยของผู้ให้บริการทางการแพทย์ที่ Unlimited ให้บริการอยู่”
บริษัทระบุว่าได้แจ้งเหตุต่อหน่วยงานบังคับใช้กฎหมายแล้ว และเริ่มกระจายหนังสือแจ้งเหตุข้อมูลรั่วไปยังผู้ป่วยที่ได้รับผลกระทบตั้งแต่วันที่ 1 กรกฎาคม 2569 ตามหนังสือแจ้งเหตุระบุว่าไม่มีกลุ่มแรนซัมแวร์หรือกลุ่มรีดทรัพย์ข้อมูลรายใดออกมาอ้างความรับผิดชอบต่อสาธารณะ และ Unlimited Technology Systems ยังไม่สามารถระบุตัวผู้ก่อเหตุได้
อีกประเด็นที่บริษัทยอมรับเองคือความสับสนของผู้รับหนังสือ เนื่องจาก Unlimited Technology Systems ประมวลผลข้อมูลในนามขององค์กรด้านสาธารณสุข ผู้ป่วยที่ได้รับผลกระทบจึงมักไม่มีความสัมพันธ์โดยตรงกับบริษัทเลย การได้รับหนังสือแจ้งเหตุข้อมูลรั่วจากบริษัทที่ตนไม่เคยรู้จักจึงสร้างความสับสน และในทางปฏิบัติยังทำให้ผู้เสียหายบางส่วนอาจเข้าใจผิดว่าหนังสือนั้นเป็นการหลอกลวงแล้วทิ้งไปโดยไม่ดำเนินการอะไร เพื่อลดความเสี่ยงที่เกิดจากการเปิดเผยข้อมูลอ่อนไหว ผู้รับหนังสือได้รับข้อเสนอบริการเฝ้าระวังอัตลักษณ์ผ่านบริษัท Kroll
ขอบเขตข้อมูลที่รั่วไหล
ข้อมูลที่อาจถูกเข้าถึงในเหตุการณ์นี้แบ่งได้เป็นสามกลุ่มที่มีนัยต่างกัน กลุ่มแรกคือข้อมูลระบุตัวตนพื้นฐานและข้อมูลที่ใช้ยืนยันตัวตนได้ ได้แก่ ชื่อนามสกุลเต็ม เลขประกันสังคม วันเกิด ที่อยู่ทางไปรษณีย์ อีเมล เบอร์โทรศัพท์ ข้อมูลประชากรศาสตร์ และภาพสแกนใบขับขี่หรือบัตรประจำตัวอื่นที่ออกโดยหน่วยงานราชการ
กลุ่มที่สองคือข้อมูลด้านประกันและการเงินสุขภาพ ได้แก่ บัตรประกัน เลขกรมธรรม์ประกันสุขภาพ ข้อมูลการเคลมและสิทธิประโยชน์ และแบบฟอร์มรับผู้ป่วย ส่วนกลุ่มที่สามคือข้อมูลสุขภาพโดยตรง ได้แก่ เลขเวชระเบียน วันที่รับบริการ และข้อมูลการวินิจฉัยโรค
ความอ่อนไหวของชุดข้อมูลนี้อยู่ที่การรวมกันของสามกลุ่มในชุดเดียว เพราะเลขประกันสังคมคู่กับวันเกิดและภาพสแกนบัตรประจำตัวคือชุดข้อมูลที่เพียงพอสำหรับการสวมรอยเปิดบัญชีหรือขอสินเชื่อ ขณะที่ข้อมูลการวินิจฉัยโรคคู่กับเลขกรมธรรม์เปิดทางให้เกิดการฉ้อโกงเรียกเก็บค่ารักษาในนามผู้ป่วย ซึ่งเป็นความเสียหายที่แก้ยากกว่าการเปลี่ยนรหัสผ่านหรือออกบัตรใหม่
สิ่งที่ยังไม่มีข้อมูลก็สำคัญไม่แพ้กัน คือบริษัทไม่ได้เปิดเผยว่าผู้บุกรุกเข้าถึงเซิร์ฟเวอร์ในศูนย์ข้อมูลได้ด้วยวิธีใด ไม่ระบุว่าเป็นการใช้ช่องโหว่ บัญชีที่ถูกยึด หรือการตั้งค่าที่ผิดพลาด ไม่มีการเปิดเผยตัวบ่งชี้การบุกรุกใด ๆ ไม่มีการยืนยันว่าข้อมูลถูกนำออกไปจริงหรือเพียงถูกเข้าถึง และไม่มีคำอธิบายว่าเหตุใดจึงใช้เวลาราวแปดเดือนครึ่งนับจากวันที่ตรวจพบจนถึงวันที่เริ่มแจ้งผู้เสียหาย
ผลกระทบ
ผู้ที่รับผลกระทบจริงในเหตุการณ์นี้คือผู้ป่วยของคลินิกและผู้ให้บริการทางการแพทย์เฉพาะทางหลายพันแห่งที่ใช้บริการของ Unlimited Technology Systems ซึ่งเป็นกลุ่มที่ไม่ได้เลือกใช้บริการบริษัทนี้ด้วยตัวเอง ไม่รู้ว่าข้อมูลของตนถูกส่งต่อไปที่ใด และไม่มีช่องทางต่อรองใด ๆ กับผู้ประมวลผลข้อมูล นี่คือลักษณะเฉพาะของความเสี่ยงจากผู้ให้บริการภายนอกในภาคสาธารณสุข ที่จำนวนผู้เสียหายไม่ได้ขึ้นกับขนาดขององค์กรที่ถูกเจาะ แต่ขึ้นกับจำนวนองค์กรที่ผูกอยู่กับผู้ให้บริการรายนั้น
ระยะเวลาราวแปดเดือนครึ่งระหว่างการตรวจพบกับการแจ้งเตือนเป็นประเด็นที่มีผลในทางปฏิบัติต่อผู้เสียหาย เพราะช่วงเวลาที่ผู้เสียหายมีประโยชน์มากที่สุดในการตรึงเครดิต เฝ้าดูบัญชี หรือตั้งการแจ้งเตือนคือช่วงต้นหลังเกิดเหตุ การรู้ตัวเมื่อเวลาผ่านไปเกือบเก้าเดือนหมายความว่าหากข้อมูลถูกนำไปใช้แล้ว ความเสียหายส่วนใหญ่อาจเกิดขึ้นไปก่อนที่เจ้าของข้อมูลจะได้รับโอกาสป้องกันตัว
การที่ไม่มีกลุ่มใดอ้างความรับผิดชอบก็มีการตีความได้หลายทางและยังไม่ควรสรุป อาจหมายความว่าผู้โจมตีเลือกขายข้อมูลต่อในตลาดใต้ดินอย่างเงียบ ๆ แทนการกดดันด้วยเว็บไซต์ปล่อยข้อมูล หรืออาจหมายความว่าเป็นการเข้าถึงเพื่อเก็บข้อมูลโดยไม่มีขั้นตอนรีดทรัพย์ตามมา ในภาพรวมเหตุการณ์นี้ต่อคิวจากกรณีผู้ให้บริการเบื้องหลังในภาคสาธารณสุขที่เว็บไซต์ Cloud Thunder เคยรายงานไว้หลายกรณี ทั้ง MCBS บริษัทจัดการธุรกิจการแพทย์ที่ข้อมูลผู้ป่วยรั่วกว่า 1.2 ล้านราย DentaQuest ผู้บริหารสิทธิประโยชน์ทันตกรรมที่ข้อมูลอาจรั่วกว่า 23 ล้านราย และ CareCloud ที่ผู้บุกรุกเข้าถึงระบบเก็บเวชระเบียนอิเล็กทรอนิกส์
คำแนะนำ
สำหรับผู้ที่ได้รับหนังสือแจ้งเหตุ ขั้นแรกคืออย่าทิ้งเพราะไม่รู้จักชื่อบริษัท เนื่องจากผู้ประมวลผลข้อมูลเบื้องหลังมักไม่ใช่ชื่อที่ผู้ป่วยเคยเห็น และควรตรวจสอบความถูกต้องของหนังสือกับสถานพยาบาลที่ตนเคยใช้บริการโดยตรง แทนที่จะคลิกลิงก์หรือโทรไปยังเบอร์ที่ปรากฏในข้อความที่ไม่แน่ใจ เพราะเหตุการณ์ข้อมูลรั่วขนาดใหญ่มักตามมาด้วยการหลอกลวงที่แอบอ้างเป็นการแจ้งเหตุ
ผู้เสียหายควรใช้สิทธิ์บริการเฝ้าระวังอัตลักษณ์ที่ได้รับเสนอ และเพิ่มมาตรการที่ครอบคลุมกว่านั้นด้วยการตรึงเครดิตกับหน่วยงานรายงานเครดิต ตั้งการแจ้งเตือนธุรกรรมของบัญชีธนาคารและบัตร รวมถึงตรวจสอบใบแจ้งสิทธิประโยชน์จากบริษัทประกันเป็นระยะเพื่อหารายการรักษาที่ตนไม่เคยรับบริการ ซึ่งเป็นสัญญาณของการฉ้อโกงเรียกเก็บค่ารักษาในชื่อผู้อื่น
สำหรับองค์กรที่ส่งข้อมูลผู้ป่วยให้ผู้ให้บริการภายนอกประมวลผล บทเรียนที่ใช้ได้ทันทีคือต้องรู้ให้ชัดว่าคู่สัญญาถือข้อมูลอะไรไว้ เก็บไว้ที่ใด เก็บนานเท่าไร และต้องแจ้งเหตุกลับมาภายในกี่วันตามสัญญา เพราะในเหตุการณ์แบบนี้องค์กรต้นทางคือผู้ที่ผู้ป่วยจะติดต่อมาถาม แต่ข้อเท็จจริงทั้งหมดอยู่ในมือคู่สัญญา นอกจากนี้ควรกำหนดในสัญญาให้ชัดว่าข้อมูลชุดใดจำเป็นต้องส่งจริง เพราะการที่ภาพสแกนบัตรประจำตัวและข้อมูลการวินิจฉัยโรคอยู่ในระบบของผู้ประมวลผลด้านการเงิน สะท้อนว่าขอบเขตข้อมูลที่ส่งไปกว้างกว่าที่งานนั้นต้องใช้
ในด้านเทคนิค องค์กรควรตั้งสมมติฐานว่าเซิร์ฟเวอร์ที่เก็บไฟล์รวมของลูกค้าหลายรายเป็นเป้าที่มีมูลค่าสูงเป็นพิเศษ จึงควรแยกพื้นที่เก็บไฟล์ตามลูกค้า เข้ารหัสไฟล์ที่พักไว้ด้วยกุญแจที่แยกจากกัน จำกัดสิทธิ์บัญชีบริการให้เข้าถึงเฉพาะโฟลเดอร์ที่จำเป็น และเปิดการบันทึกการเข้าถึงไฟล์พร้อมตั้งการแจ้งเตือนเมื่อมีการอ่านหรือคัดลอกไฟล์ปริมาณมากผิดปกติ ซึ่งเป็นจุดที่ทำให้เหตุการณ์ที่กินเวลา 5 วันแบบนี้ถูกจับได้ตั้งแต่วันแรกแทนที่จะรู้ตัวหลังจากนั้น