สรุปสั้น

โรงพยาบาล The Hospital for Sick Children หรือที่รู้จักกันในชื่อ SickKids ซึ่งเป็นโรงพยาบาลเด็กในนครโทรอนโต ประเทศแคนาดา ได้เปิดเผยว่าข้อมูลส่วนบุคคลของพนักงานปัจจุบันและอดีตพนักงาน รวมถึงผู้ที่เคยสมัครงานกับโรงพยาบาล ถูกเข้าถึงโดยไม่ได้รับอนุญาตจากเหตุการณ์ที่โรงพยาบาลเรียกว่า “เหตุด้านความมั่นคงไซเบอร์” โดยระบุว่าต้นตอของเหตุคือช่องโหว่ในแอปพลิเคชันซอฟต์แวร์ของบุคคลที่สาม ซึ่งไม่ได้ใช้เฉพาะที่ SickKids แต่มีองค์กรอื่นใช้งานอยู่ด้วยเช่นกัน

จุดที่โรงพยาบาลยืนยันชัดเจนคือระบบทางคลินิกและเวชระเบียนของผู้ป่วยไม่ได้รับผลกระทบ การรักษาพยาบาลดำเนินไปตามปกติ ส่วนระบบที่ได้รับผลกระทบคือเว็บไซต์รับสมัครงานที่เปิดให้บุคคลภายนอกเข้าถึงได้ ซึ่งถูกปิดให้บริการชั่วคราวและได้กลับมาเปิดใช้งานอย่างปลอดภัยแล้ว ผู้ที่ข้อมูลอาจถูกเข้าถึงประกอบด้วยพนักงานของ SickKids เอง พนักงานของ Boomerang ซึ่งเป็นคลินิกกุมารเวชที่โรงพยาบาลเป็นเจ้าของ พนักงานของมูลนิธิ SickKids Foundation และผู้สมัครงานกับโรงพยาบาล

สิ่งที่ยังไม่ถูกเปิดเผยมีมากกว่าสิ่งที่เปิดเผย โรงพยาบาลไม่ระบุชื่อผู้จำหน่ายซอฟต์แวร์ ไม่ระบุชื่อแอปพลิเคชัน และไม่ระบุหมายเลข CVE ของช่องโหว่ที่ถูกใช้ อีกทั้งไม่บอกว่าข้อมูลประเภทใดบ้างที่หลุดออกไป มีผู้ได้รับผลกระทบกี่ราย และการบุกรุกเกิดขึ้นเมื่อใด โดยระบุเพียงว่าการตรวจสอบขอบเขตของข้อมูลยังดำเนินอยู่ ผู้ที่ได้รับการยืนยันว่าได้รับผลกระทบจะถูกแจ้งเป็นรายบุคคล และในระหว่างนี้โรงพยาบาลได้แจ้งทุกคนที่อาจเกี่ยวข้องไว้ก่อนแล้ว พร้อมเสนอบริการเฝ้าระวังเครดิตและปกป้องตัวตนฟรีเป็นเวลา 24 เดือน

รายละเอียดข่าว

เว็บไซต์ BleepingComputer รายงานเมื่อวันที่ 21 สิงหาคม 2569 ว่าโรงพยาบาล SickKids ได้ออกมาเปิดเผยเหตุการณ์นี้ในสัปดาห์เดียวกัน โดยระบุว่าเหตุการณ์ส่งผลให้เกิดการเข้าถึงข้อมูลของพนักงานโดยไม่ได้รับอนุญาต และในแถลงการณ์ต่อสื่อมวลชน โรงพยาบาลอธิบายว่าเหตุมีต้นตอมาจากช่องโหว่ในแอปพลิเคชันซอฟต์แวร์ของบุคคลที่สามที่ทั้ง SickKids และองค์กรอื่นใช้งานอยู่

การเลือกใช้ถ้อยคำในลักษณะนี้ชวนให้ตีความได้ว่ามีแคมเปญที่กว้างกว่าหนึ่งองค์กรกำลังเล่นงานผู้ใช้ผลิตภัณฑ์ตัวเดียวกันอยู่ แต่โรงพยาบาลไม่ได้ระบุชื่อผู้จำหน่าย ชื่อแอปพลิเคชัน หรือหมายเลข CVE ที่เกี่ยวข้องแม้แต่รายการเดียว ซึ่งทำให้องค์กรอื่นที่อาจใช้ซอฟต์แวร์ตัวเดียวกันไม่มีทางรู้ได้ว่าตัวเองอยู่ในกลุ่มเสี่ยงหรือไม่ หลังทราบเรื่อง โรงพยาบาลได้เริ่มการสอบสวนโดยมีผู้เชี่ยวชาญด้านความมั่นคงไซเบอร์จากภายนอกเข้ามาช่วย และผลการตรวจสอบเบื้องต้นชี้ว่าข้อมูลส่วนบุคคลของพนักงานปัจจุบันและอดีตพนักงานของ SickKids, Boomerang และ SickKids Foundation รวมถึงผู้สมัครงาน อาจถูกเข้าถึง

เว็บไซต์รับสมัครงานภายนอกเป็นระบบที่ได้รับผลกระทบโดยตรงและถูกปิดไปชั่วคราว ก่อนจะ “ได้รับการกู้คืนอย่างปลอดภัยแล้ว” ตามคำแถลง ในขณะที่ระบบทางคลินิกและข้อมูลผู้ป่วยไม่ได้รับผลกระทบ และการดูแลผู้ป่วยดำเนินต่อไปตามปกติ ส่วนการตรวจสอบว่าข้อมูลใดถูกกระทบบ้างยังดำเนินอยู่ โดยผู้ที่ได้รับการยืนยันว่าได้รับผลกระทบจะได้รับการติดต่อโดยตรง

ระบบรับสมัครงานเป็นเป้าหมายที่ให้ผลตอบแทนสูงผิดปกติสำหรับผู้ขโมยข้อมูล เพราะผู้สมัครงานมักกรอกข้อมูลครบถ้วนกว่าที่กรอกให้บริการทั่วไปมาก ทั้งชื่อ-นามสกุลเต็ม ที่อยู่บ้าน หมายเลขโทรศัพท์ ประวัติการทำงานย้อนหลัง และในบางประเทศยังรวมถึงหมายเลขประจำตัวที่รัฐออกให้ ข้อมูลชุดนี้มีประโยชน์ทั้งสำหรับการฉ้อโกงโดยสวมรอยตัวตน และสำหรับการปั้นเรื่องหลอกลวงที่น่าเชื่อถือเพื่อโจมตีเจ้าหน้าที่ของโรงพยาบาลในขั้นถัดไป

นี่ไม่ใช่เหตุด้านความมั่นคงครั้งแรกที่โรงพยาบาลแห่งนี้เผชิญในระยะไม่กี่ปีที่ผ่านมา เมื่อเดือนธันวาคม 2565 SickKids ถูกโจมตีด้วยแรนซัมแวร์จนระบบภายใน สายโทรศัพท์ และเว็บไซต์ของโรงพยาบาลหยุดชะงัก และทำให้ผลตรวจทางห้องปฏิบัติการและผลภาพวินิจฉัยล่าช้า ต่อมากลุ่มแรนซัมแวร์ LockBit ได้ออกมาขอโทษต่อสาธารณะซึ่งเป็นเรื่องที่เกิดขึ้นไม่บ่อยนัก โดยอ้างว่าสมาชิกในเครือข่ายที่ลงมือได้ละเมิดกฎของกลุ่มที่ห้ามเข้ารหัสข้อมูลของสถานพยาบาล และได้ส่งมอบเครื่องมือถอดรหัสให้ฟรี แต่กว่าจะถึงจุดนั้นโรงพยาบาลก็ใช้เวลาเกือบสองสัปดาห์กู้ระบบด้วยตัวเองไปแล้ว

ถัดมาในเดือนกันยายน 2566 SickKids ยังเป็นหนึ่งในผู้ให้บริการด้านสุขภาพในรัฐออนแทรีโอที่ได้รับผลกระทบจากเหตุข้อมูลรั่วที่องค์กรบุคคลที่สามซึ่งโรงพยาบาลแบ่งปันข้อมูลด้านสุขภาพของมารดาและเด็กด้วย เหตุการณ์ครั้งนั้นมีต้นตอจากการโจมตีช่องโหว่ zero-day ใน MOVEit Transfer หมายเลข CVE-2023-34362 เป็นวงกว้าง และทำให้ข้อมูลของผู้คนถึง 3.4 ล้านรายรั่วไหล ซึ่งรวมถึงชื่อ ที่อยู่บ้าน วันเดือนปีเกิด และหมายเลขบัตรประกันสุขภาพ

วิธีการโจมตี

ต้องระบุไว้ให้ชัดว่าข้อมูลเชิงเทคนิคของเหตุการณ์นี้มีน้อยมาก โรงพยาบาลไม่ได้อธิบายลำดับขั้นของการโจมตีเลย ไม่บอกว่าช่องโหว่ในซอฟต์แวร์บุคคลที่สามเป็นประเภทใด ไม่บอกว่าผู้โจมตีเข้าถึงข้อมูลด้วยวิธีใด ไม่ระบุตัวผู้โจมตี ไม่มีตัวชี้วัดการถูกบุกรุกใด ๆ ให้องค์กรอื่นนำไปใช้ค้นหาร่องรอยในระบบของตน และไม่มีการเปิดเผยกรอบเวลาของการบุกรุก สิ่งที่ประเมินได้จึงมีเพียงโครงร่างของเหตุการณ์เท่านั้น

สิ่งที่ทราบคือช่องทางที่ถูกใช้ผูกอยู่กับระบบรับสมัครงานที่เปิดให้บุคคลภายนอกเข้าถึงได้ ซึ่งเป็นระบบที่มีลักษณะเฉพาะตัวหลายอย่างที่ทำให้กลายเป็นจุดอ่อนโดยธรรมชาติ ระบบประเภทนี้ต้องเปิดรับการเชื่อมต่อจากอินเทอร์เน็ตสาธารณะโดยไม่จำกัดว่าใครเข้าได้บ้าง ต้องรับไฟล์แนบจากคนแปลกหน้าในรูปแบบเรซูเมและเอกสารประกอบ และมักถูกจัดซื้อมาเป็นบริการสำเร็จรูปที่ทีมความมั่นคงขององค์กรไม่ได้เป็นผู้ดูแลเอง เมื่อรวมสามข้อนี้เข้าด้วยกัน ระบบรับสมัครงานจึงกลายเป็นจุดที่มีข้อมูลอ่อนไหวจำนวนมากแต่อยู่นอกขอบเขตการมองเห็นของทีมที่รับผิดชอบความมั่นคง

ประเด็นสำคัญอีกข้อคือถ้อยคำที่โรงพยาบาลใช้ ซึ่งระบุว่าซอฟต์แวร์ตัวนี้ “ถูกใช้โดย SickKids และองค์กรอื่น” การเลือกเน้นข้อความนี้ในคำแถลงมีนัยว่าโรงพยาบาลอาจไม่ได้เป็นเหยื่อรายเดียว และเหตุการณ์นี้อาจเป็นส่วนหนึ่งของการโจมตีเป็นชุดต่อผู้ใช้ผลิตภัณฑ์เดียวกัน ซึ่งเป็นรูปแบบที่พบซ้ำแล้วซ้ำเล่าในเหตุข้อมูลรั่วขนาดใหญ่ในช่วงหลายปีที่ผ่านมา ตั้งแต่กรณี MOVEit ที่โรงพยาบาลแห่งนี้เองก็เคยได้รับผลกระทบ อย่างไรก็ตามข้อสังเกตนี้ยังเป็นเพียงการตีความจากถ้อยคำ ไม่ใช่คำยืนยันจากโรงพยาบาลหรือจากผู้จำหน่ายซอฟต์แวร์รายใด

ผลกระทบ

ผลกระทบโดยตรงตกอยู่กับพนักงานและผู้สมัครงาน ไม่ใช่ผู้ป่วย ซึ่งเป็นเรื่องที่ต้องแยกให้ชัดเพราะข่าวข้อมูลรั่วในโรงพยาบาลมักถูกเข้าใจว่าเป็นเรื่องเวชระเบียนเสมอ แต่ความเสียหายที่เกิดกับกลุ่มนี้ก็ไม่ได้เบา เนื่องจากข้อมูลที่ผู้สมัครงานส่งเข้าไปเป็นชุดข้อมูลที่ครบถ้วนพอสำหรับการสวมรอยตัวตน และเมื่อโรงพยาบาลยังไม่สามารถบอกได้ว่าข้อมูลประเภทใดหลุดออกไปบ้าง ผู้ที่เคยสมัครงานก็ไม่มีทางประเมินความเสี่ยงของตัวเองได้ นอกจากรอการแจ้งเป็นรายบุคคลที่ยังไม่มีกำหนดเวลาชัดเจน

ในระดับองค์กร เหตุการณ์นี้ชี้ไปที่จุดที่ถูกมองข้ามบ่อยที่สุดจุดหนึ่งของการบริหารความเสี่ยงจากบุคคลที่สาม นั่นคือระบบที่ไม่ได้เกี่ยวข้องกับภารกิจหลักขององค์กร ระบบรับสมัครงาน ระบบจองห้องประชุม ระบบสำรวจความคิดเห็น หรือระบบจัดการงานอีเวนต์ มักถูกจัดซื้อโดยฝ่ายที่ไม่ใช่ฝ่ายไอที ผ่านกระบวนการประเมินความมั่นคงที่หลวมกว่าระบบหลัก และแทบไม่เคยถูกรวมอยู่ในแผนรับมือเหตุ ทั้งที่ข้อมูลที่อยู่ในระบบเหล่านั้นมีความอ่อนไหวไม่ต่างจากระบบหลักเลย รูปแบบเดียวกันนี้เคยปรากฏในกรณีที่ข้อมูลลูกค้าของ Pokémon Center รั่วผ่านผู้ให้บริการขนส่ง ตามที่รายงานไว้ในโพสต์ 08/112

อีกมุมที่ควรพิจารณาคือการที่โรงพยาบาลไม่เปิดเผยชื่อซอฟต์แวร์ที่มีช่องโหว่ ในแง่หนึ่งเป็นการตัดสินใจที่เข้าใจได้ เพราะการเปิดเผยก่อนที่ผู้จำหน่ายจะแก้ไขเสร็จอาจทำให้องค์กรอื่นที่ใช้ผลิตภัณฑ์เดียวกันตกเป็นเป้าทันที แต่ในอีกแง่หนึ่ง การปิดข้อมูลไว้ก็ทำให้องค์กรอื่นเสียโอกาสในการตรวจสอบตัวเองไปด้วย ซึ่งเป็นความตึงเครียดที่ไม่มีคำตอบสำเร็จรูป และเป็นเหตุผลที่กลไกอย่างการออกหมายเลข CVE และการแจ้งเตือนผ่านหน่วยงานกลางจึงมีความสำคัญ เพราะเป็นช่องทางที่ทำให้ข้อมูลถึงผู้ที่ต้องป้องกันตัวโดยไม่ต้องประกาศต่อสาธารณะทั้งหมด

คำแนะนำ

สำหรับผู้ที่เคยสมัครงานหรือเคยทำงานกับองค์กรที่ประกาศเหตุลักษณะนี้ สิ่งที่ควรทำคือรับบริการเฝ้าระวังเครดิตที่องค์กรเสนอให้ไว้ก่อน ระวังการติดต่อที่อ้างชื่อองค์กรนั้นเป็นพิเศษในช่วงหลังเกิดเหตุ เพราะผู้ที่ถือข้อมูลประวัติการสมัครงานอยู่ในมือสามารถปั้นเรื่องได้แนบเนียนกว่าผู้หลอกลวงทั่วไปมาก และไม่ควรให้ข้อมูลเพิ่มเติมหรือกดลิงก์จากอีเมลที่อ้างว่าเป็นการติดตามผลของเหตุการณ์ ควรเข้าเว็บไซต์ขององค์กรโดยตรงแทน

สำหรับองค์กรทั่วไป ข้อแรกที่ควรทำคือจัดทำบัญชีรายชื่อระบบภายนอกทั้งหมดที่เก็บข้อมูลส่วนบุคคล โดยเฉพาะระบบที่ฝ่ายทรัพยากรบุคคล ฝ่ายสื่อสารองค์กร หรือฝ่ายจัดซื้อเป็นผู้ดูแลเอง แล้วตอบให้ได้ว่าแต่ละระบบเก็บข้อมูลอะไร ใครเข้าถึงได้ ผู้จำหน่ายมีข้อผูกพันแจ้งเหตุภายในกี่วัน และหากระบบนั้นถูกเจาะ องค์กรจะรู้ได้อย่างไรและจากใคร คำถามข้อสุดท้ายมักเป็นข้อที่ตอบไม่ได้ ซึ่งตัวมันเองก็เป็นคำตอบอยู่แล้วว่าต้องแก้ตรงไหน

ข้อถัดมาคือการลดปริมาณข้อมูลที่เก็บไว้ในระบบเหล่านั้นให้เหลือเท่าที่จำเป็นจริง ระบบรับสมัครงานจำนวนมากยังเก็บใบสมัครของผู้ที่ไม่ได้รับคัดเลือกไว้เป็นปี ๆ โดยไม่มีนโยบายลบข้อมูลที่บังคับใช้จริง การกำหนดระยะเวลาเก็บที่ชัดเจนและลบข้อมูลเมื่อพ้นกำหนดเป็นมาตรการที่ลดความเสียหายได้มากที่สุดเมื่อเทียบกับต้นทุน เพราะข้อมูลที่ไม่ได้ถูกเก็บไว้คือข้อมูลที่รั่วไม่ได้ สุดท้ายควรเพิ่มระบบของบุคคลที่สามเข้าไปในแผนรับมือเหตุขององค์กรอย่างเป็นทางการ พร้อมกำหนดผู้รับผิดชอบและช่องทางติดต่อฉุกเฉินกับผู้จำหน่ายไว้ล่วงหน้า แทนที่จะต้องมาหาเบอร์โทรกันตอนเกิดเหตุแล้ว

แหล่งอ้างอิง