สรุปสั้น

บริษัท Astrana Health เปิดเผยว่าข้อมูลส่วนตัวและข้อมูลลับถูกขโมยออกจากเซิร์ฟเวอร์ของบริษัท หลังพนักงานตกเป็นเป้าของการโจมตีแบบ social engineering โดย Astrana Health เป็นบริษัทบริหารจัดการด้านสาธารณสุขที่เน้นแพทย์เป็นศูนย์กลาง ตั้งอยู่ในรัฐแคลิฟอร์เนีย ให้บริการงานหลังบ้าน เช่น การเคลมและการวางบิล เหตุการณ์นี้เกี่ยวข้องกับบริษัทลูก Astrana Health Management ตามที่บริษัทแจ้งไว้ในเอกสารที่ยื่นต่อสำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์สหรัฐฯ (ก.ล.ต. หรือ SEC)

แฮ็กเกอร์ใช้เทคนิค social engineering ในการเข้าถึงเซิร์ฟเวอร์ของบริษัท ด้วยการปลอมตัวเป็นบุคลากรของ Astrana Health และปลอมหมายเลขโทรศัพท์หลักของบริษัทเพื่อติดต่อพนักงาน หลังตรวจพบการโจมตี บริษัทได้ว่าจ้างบริษัทความปลอดภัยไซเบอร์ภายนอกเข้ามาช่วย แจ้งหน่วยงานที่เกี่ยวข้องและพันธมิตร พร้อมเปิดการสอบสวน โดยการสอบสวนได้ยืนยันแล้วว่าผู้ก่อภัยคุกคามเข้าถึงและนำข้อมูลส่วนตัวและข้อมูลลับบางส่วนออกไปจากเซิร์ฟเวอร์ของบริษัท

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 24 กันยายน 2569 ว่า Astrana Health แจ้งต่อ ก.ล.ต. สหรัฐฯ ว่าถูกขโมยข้อมูลส่วนตัวและข้อมูลลับหลังเกิดเหตุการโจมตีแบบ social engineering ที่มุ่งเป้าไปที่พนักงานของบริษัท

ในการตอบสนองต่อการบุกรุก บริษัทได้หมุนเปลี่ยน credential จำกัดการใช้เครื่องมือเข้าถึงระยะไกล สร้างบางระบบขึ้นใหม่จากข้อมูลสำรองที่สะอาด และปรับปรุงการเฝ้าติดตาม การบันทึก log และการตรวจจับให้ดีขึ้น ทั้งนี้ Astrana Health ระบุว่ายังคงประเมินอยู่ว่าข้อมูลของผู้ป่วย พนักงาน ผู้ให้บริการที่ผ่านการรับรอง ข้อมูลธุรกิจและการเงินที่เป็นความลับ ทรัพย์สินทางปัญญา หรือข้อมูลอื่น ๆ ถูกเข้าถึง ถูกดึงออก หรือถูกนำออกไปหรือไม่และในระดับใด และยังคงประเมินผลกระทบที่อาจเกิดจากกิจกรรมที่ไม่ได้รับอนุญาตนี้ต่อไป

ตามข้อมูลของบริษัท เหตุการณ์นี้ถือว่ามีนัยสำคัญ (material) เนื่องจากธรรมชาติที่อาจเป็นความลับและอ่อนไหวของข้อมูลที่เกี่ยวข้อง แต่คาดว่าจะไม่ส่งผลกระทบต่อฐานะการเงินและการดำเนินงานของบริษัท ทั้งนี้ Astrana Health ไม่ได้ระบุชื่อผู้ก่อภัยคุกคามที่อยู่เบื้องหลัง และ SecurityWeek ระบุว่ายังไม่พบกลุ่มแรนซัมแวร์หรือกลุ่มกรรโชกที่รู้จักออกมาอ้างความรับผิดชอบต่อเหตุการณ์นี้

วิธีการโจมตี

จุดตั้งต้นของการโจมตีคือ social engineering ที่เล่นงานคนแทนช่องโหว่ทางเทคนิค ผู้โจมตีปลอมตัวเป็นบุคลากรของ Astrana Health และใช้เทคนิคปลอมหมายเลขผู้โทร (caller ID spoofing) ให้ปรากฏเป็นหมายเลขโทรศัพท์หลักของบริษัท เพื่อสร้างความน่าเชื่อถือในการติดต่อพนักงานทางโทรศัพท์ ซึ่งเป็นรูปแบบการหลอกลวงทางเสียงหรือ vishing ที่มักใช้หลอกให้พนักงานเปิดเผยข้อมูลการเข้าสู่ระบบหรืออนุมัติการเข้าถึง เมื่อได้ช่องทางเข้าสู่ระบบแล้ว ผู้โจมตีจึงเข้าถึงเซิร์ฟเวอร์และนำข้อมูลออกไป มาตรการตอบสนองของบริษัทที่หมุนเปลี่ยน credential และจำกัดเครื่องมือเข้าถึงระยะไกลสะท้อนว่าการเข้าถึงน่าจะเกิดผ่านบัญชีหรือช่องทางระยะไกลที่ถูกยึด

ผลกระทบ

เหตุการณ์นี้ตอกย้ำว่าองค์กรด้านสาธารณสุขยังคงเป็นเป้าหมายที่น่าสนใจของผู้โจมตี เพราะครอบครองข้อมูลผู้ป่วย ข้อมูลการเคลม และข้อมูลการเงินจำนวนมาก และการที่ Astrana Health ให้บริการงานหลังบ้านแก่ผู้ให้บริการทางการแพทย์ ยังหมายความว่าข้อมูลที่รั่วอาจกระทบถึงผู้ป่วยและผู้ให้บริการหลายรายที่เป็นลูกค้า แม้บริษัทจะยังไม่สรุปขอบเขตข้อมูลที่ถูกนำออกไป แต่การยืนยันว่ามีการ exfiltrate ข้อมูลลับเกิดขึ้นจริงก็เพียงพอที่จะสร้างความเสี่ยงด้านความเป็นส่วนตัวและการนำข้อมูลไปใช้ในการฉ้อโกงต่อเนื่อง กรณีนี้ยังแสดงให้เห็นว่าการโจมตีที่เล่นงาน “คน” ผ่านการปลอมตัวและปลอมหมายเลขโทรศัพท์ สามารถข้ามการป้องกันทางเทคนิคที่แข็งแรงได้ หากพนักงานไม่ได้รับการฝึกให้รู้ทัน

คำแนะนำ

องค์กรควรเสริมการป้องกันการโจมตีแบบ social engineering และ vishing ด้วยการอบรมพนักงานให้ตรวจสอบตัวตนผู้ติดต่อผ่านช่องทางที่สองเสมอ แม้หมายเลขที่โทรเข้าจะดูเหมือนเป็นหมายเลขภายในบริษัท เพราะหมายเลขผู้โทรสามารถถูกปลอมได้ง่าย ควรบังคับใช้การยืนยันตัวตนหลายปัจจัย (MFA) ที่ทนต่อการฟิชชิงกับทุกช่องทางเข้าถึงระยะไกล กำหนดขั้นตอนยืนยันตัวตนที่รัดกุมสำหรับการรีเซ็ตรหัสผ่านหรือให้สิทธิ์เข้าถึงทางโทรศัพท์ จำกัดสิทธิ์การเข้าถึงข้อมูลตามหลัก least privilege และเฝ้าติดตามพฤติกรรมการเข้าถึงและการดึงข้อมูลออกที่ผิดปกติ รวมถึงเตรียมแผนเผชิญเหตุและการสำรองข้อมูลที่สะอาดไว้ล่วงหน้าเพื่อให้กู้คืนระบบได้อย่างรวดเร็ว

แหล่งอ้างอิง