สรุปสั้น

หน่วยงาน District of Columbia Department of Health Care Finance (DHCF) กำลังแจ้งเตือนประชาชนเกือบ 400,000 รายว่าข้อมูลส่วนบุคคลของพวกเขาอาจถูกเปิดเผยในเหตุข้อมูลรั่วไหล โดยเหตุนี้กระทบผู้รับสิทธิ์โครงการ Medicaid และ DC Healthcare Alliance ที่ลงทะเบียนระหว่างปี 2023 ถึง 2026 จุดที่ต่างจากข่าวรั่วไหลทั่วไปคือเหตุครั้งนี้ไม่ได้เกิดจากการแฮ็ก แต่ DHCF พบในเดือนกรกฎาคมว่ารายงาน 2 ฉบับบนเว็บไซต์ของตนมีข้อมูลส่วนบุคคลซ่อนอยู่เบื้องหลังซึ่งผู้ที่ไม่ได้รับอนุญาตสามารถเข้าถึงได้

DHCF ระบุว่ารายงานเหล่านี้ตั้งใจให้แสดงเพียงข้อมูลสรุปเกี่ยวกับกลุ่มคน เช่น จำนวนผู้ลงทะเบียนและสถิติอื่น ๆ และไม่ได้แสดงรายละเอียดส่วนบุคคลของใครบนหน้าจอ แต่ข้อมูลส่วนบุคคลที่อยู่เบื้องหลังซึ่งรองรับรายงานเหล่านั้นอาจถูกเข้าถึงได้โดยผู้ไม่ได้รับอนุญาตในช่วงปี 2023 ถึงกรกฎาคม 2026 ข้อมูลที่ถูกเปิดเผยได้แก่ Medicaid ID, ชื่อผู้ให้บริการ, วันเกิด, เชื้อชาติ, เพศ, ชาติพันธุ์ และเขต (ward) โดยไม่รวมหมายเลขประกันสังคม ชื่อ หรือข้อมูลทางการเงิน DHCF แจ้งกระทรวงสาธารณสุขและบริการมนุษย์สหรัฐฯ (HHS) ว่ามีผู้ได้รับผลกระทบ 399,086 ราย

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 28 กันยายน พ.ศ. 2569 ว่า DHCF ค้นพบเหตุการณ์นี้ในเดือนกรกฎาคม เมื่อพบว่ารายงาน 2 ฉบับบนเว็บไซต์มีข้อมูลส่วนบุคคลที่เข้าถึงได้โดยผู้ไม่ได้รับอนุญาต ทั้งที่หน้าจอแสดงเพียงข้อมูลสรุปเชิงสถิติ หน่วยงานอธิบายในหนังสือแจ้งเตือนที่ส่งถึงผู้ได้รับผลกระทบว่า เนื่องจากข้อมูลที่อาจถูกเข้าถึงไม่รวมหมายเลขประกันสังคมหรือข้อมูลบัญชีการเงิน จึงมีโอกาสน้อยที่ข้อมูลดังกล่าวจะถูกนำไปใช้ในทางที่ผิด

DHCF ระบุว่า “ไม่มีเหตุให้เชื่อว่ามีใครดูหรือนำข้อมูลนี้ไปใช้ในทางที่ผิด” แต่ยังคงกระตุ้นให้ผู้ที่อาจได้รับผลกระทบเฝ้าระวังการโจรกรรมข้อมูลส่วนบุคคลและความพยายามฉ้อโกง หน่วยงานได้ลบรายงานทั้งสองออกจากเว็บไซต์ทันทีหลังค้นพบเหตุ พร้อมทั้งเริ่มการตรวจสอบภายในและดำเนินการตรวจสอบระบบภายในของตน โดย HHS ได้เพิ่ม DHCF เข้าไปในพอร์ทัลแจ้งเหตุข้อมูลรั่วไหลเมื่อปลายสัปดาห์ที่ผ่านมา

รายละเอียดเหตุการณ์

ลักษณะของเหตุการณ์นี้เป็นการเปิดเผยข้อมูลจากการตั้งค่าที่ไม่รัดกุม (data exposure) มากกว่าการถูกเจาะระบบจากภายนอก ปัญหาอยู่ที่รายงานเชิงสถิติบนเว็บไซต์ซึ่งบนหน้าจอแสดงเฉพาะตัวเลขภาพรวม แต่ข้อมูลระดับบุคคลที่เป็นฐานของรายงานกลับยังเข้าถึงได้จากเบื้องหลัง ทำให้ผู้ที่ไม่ได้รับอนุญาตสามารถดึงข้อมูลดิบที่อยู่ใต้รายงานเหล่านั้นได้เป็นเวลานานหลายปี ตั้งแต่ปี 2023 จนกระทั่งถูกพบและปิดในเดือนกรกฎาคม 2026 ข้อมูลที่รั่วไหลจัดเป็นข้อมูลอ่อนไหวด้านสุขภาพและประชากรศาสตร์ ได้แก่ Medicaid ID, ชื่อผู้ให้บริการ, วันเกิด, เชื้อชาติ, เพศ, ชาติพันธุ์ และเขตที่อยู่อาศัย แม้จะไม่มีหมายเลขประกันสังคมหรือข้อมูลการเงินก็ตาม

ผลกระทบ

แม้ DHCF จะย้ำว่าความเสี่ยงจำกัดเพราะไม่มีหมายเลขประกันสังคมหรือข้อมูลการเงินหลุดออกไป แต่ข้อมูลที่รั่วยังคงเป็นข้อมูลอ่อนไหว การที่ Medicaid ID ผูกกับวันเกิดและข้อมูลประชากรศาสตร์อย่างเชื้อชาติ เพศ และเขตที่อยู่อาศัย อาจถูกนำไปใช้ประกอบการทำ social engineering หรือฉ้อโกงที่แอบอ้างเป็นหน่วยงานสาธารณสุขได้ ที่น่ากังวลไม่แพ้กันคือระยะเวลาที่ข้อมูลเปิดโล่งยาวนานถึงราวสามปี ซึ่งสะท้อนว่าการตรวจสอบการตั้งค่าความปลอดภัยของรายงานและ endpoint ที่ให้บริการข้อมูลเป็นจุดที่มักถูกมองข้าม เหตุการณ์นี้เป็นตัวอย่างว่าการรั่วไหลไม่จำเป็นต้องมาจากการแฮ็กเสมอไป เพียงแค่ข้อมูลเบื้องหลังรายงานที่ดูปลอดภัยบนหน้าจอก็เพียงพอจะกลายเป็นช่องเปิดข้อมูลของคนหลายแสนราย

คำแนะนำ

  • ผู้ที่อาจได้รับผลกระทบควรเฝ้าระวังความพยายามฉ้อโกงหรือ phishing ที่แอบอ้างเป็นหน่วยงานสาธารณสุข และระวังการติดต่อที่อ้างอิงข้อมูล Medicaid หรือรายละเอียดส่วนบุคคลของตน
  • องค์กรที่เผยแพร่รายงานเชิงสถิติบนเว็บควรตรวจสอบว่าข้อมูลดิบหรือชุดข้อมูลเบื้องหลังรายงานไม่สามารถเข้าถึงได้โดยตรงผ่าน URL, API หรือไฟล์แนบ แม้หน้าจอจะแสดงเพียงข้อมูลสรุป
  • ทำ data minimization โดยไม่ผูกข้อมูลระดับบุคคลไว้กับรายงานสรุปที่เผยแพร่สาธารณะ และแยกชั้นการเข้าถึงระหว่างข้อมูลสรุปกับข้อมูลดิบให้ชัดเจน
  • ตรวจสอบสิทธิ์การเข้าถึงและ log ของ endpoint ที่ให้บริการรายงานอย่างสม่ำเสมอ เพื่อตรวจจับการดึงข้อมูลผิดปกติที่อาจกินเวลานานโดยไม่ถูกสังเกต

แหล่งอ้างอิง