สรุปสั้น

ยอดผู้ได้รับผลกระทบจากเหตุเจาะระบบ Cerner รุ่นเก่าของบริษัท Oracle Health เมื่อต้นปี 2568 พุ่งขึ้นเป็นเกือบ 20 ล้านคน ตามที่ Bloomberg รายงานโดยอ้างรายงานของสำนักงานอัยการสูงสุดรัฐเท็กซัส ตัวเลขนี้สูงกว่ายอดที่ปรากฏในเอกสารแจ้งเหตุและจดหมายแจ้งผู้ป่วยก่อนหน้านี้มาก ขณะที่ Oracle ยังไม่เคยเปิดเผยจำนวนผู้ได้รับผลกระทบต่อสาธารณะ และปฏิเสธที่จะให้ความเห็นกับ Bloomberg ข้อมูลที่รั่วครอบคลุมทั้งชื่อ หมายเลขประกันสังคม (SSN) และข้อมูลในเวชระเบียน เช่น การวินิจฉัย ยา ผลตรวจ และภาพถ่ายทางการแพทย์

เหตุดังกล่าวเกิดจากผู้โจมตีใช้ credential ของลูกค้าที่ถูกขโมยมาเข้าถึงเซิร์ฟเวอร์รุ่นเก่าที่ยังไม่ได้ย้ายขึ้น Oracle Cloud ตั้งแต่หลังวันที่ 22 มกราคม 2568 แล้วคัดลอกข้อมูลออกไปยังเซิร์ฟเวอร์ภายนอก ก่อนที่ผู้โจมตีรายเดียวชื่อ “Andrew” จะใช้ข้อมูลนี้ขู่กรรโชกโรงพยาบาลที่เป็นลูกค้าหลายแห่ง หากตัวเลขเกือบ 20 ล้านคนได้รับการยืนยัน เหตุนี้จะเป็นหนึ่งในเหตุข้อมูลสุขภาพรั่วไหลที่ใหญ่ที่สุดเท่าที่มีบันทึกในสหรัฐฯ โดยมีเพียงไม่กี่เหตุที่ใหญ่กว่า เช่น เหตุแรนซัมแวร์ Change Healthcare ปี 2567 ที่กระทบ 192.7 ล้านคน

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 8 ตุลาคม 2569 ว่า Cerner ผู้พัฒนาระบบเวชระเบียนอิเล็กทรอนิกส์ (EHR) กลายเป็นส่วนหนึ่งของ Oracle ในเดือนมิถุนายน 2565 จากดีลมูลค่าราว 28,300 ล้านดอลลาร์สหรัฐ และปัจจุบันดำเนินธุรกิจในชื่อ Oracle Health บริษัทเริ่มแจ้งลูกค้าในภาคสาธารณสุขเมื่อมีนาคม 2568 โดยระบุว่า “ในหรือราววันที่ 20 กุมภาพันธ์ 2568 เราทราบถึงเหตุการณ์ด้านความปลอดภัยไซเบอร์ที่เกี่ยวข้องกับการเข้าถึงข้อมูล Cerner ของท่านบางส่วนโดยไม่ได้รับอนุญาต ซึ่งอยู่บนเซิร์ฟเวอร์รุ่นเก่าที่ยังไม่ได้ย้ายไปยัง Oracle Cloud”

ตัวเลขรายรัฐที่ปรากฏในเอกสารแจ้งเหตุแสดงให้เห็นขนาดที่ทยอยเผยออกมา โดยหน้ารายการของ Cerner บนพอร์ทัลแจ้งเหตุข้อมูลรั่วของอัยการสูงสุดเท็กซัส ซึ่งเผยแพร่เมื่อวันที่ 2 ตุลาคม 2569 ระบุผู้ได้รับผลกระทบชาวเท็กซัส 2,992,244 คน ส่วนเอกสารที่ยื่นต่อรัฐเซาท์แคโรไลนาและวอชิงตันระบุราว 283,000 และ 69,000 คนตามลำดับ เอกสารที่ยื่นต่อหน่วยงานกำกับของรัฐออริกอนระบุช่วงเกิดเหตุระหว่าง 22 มกราคมถึง 1 เมษายน 2568 และวันที่ตรวจพบคือ 20 กุมภาพันธ์ 2568 ทั้งนี้ตัวเลขเกือบ 20 ล้านคนมาจากรายงานของ Bloomberg ที่อ้างรายงานของอัยการสูงสุดเท็กซัส และยังไม่ได้รับการยืนยันจาก Oracle

วิธีการโจมตี

Oracle แจ้งลูกค้าว่าหลักฐานที่มีบ่งชี้ว่าผู้โจมตีใช้ credential ของลูกค้าที่ถูกขโมยมาเข้าถึงเซิร์ฟเวอร์เมื่อใดสักช่วงหลังวันที่ 22 มกราคม 2568 แล้วคัดลอกข้อมูลไปยังเซิร์ฟเวอร์ภายนอก จุดอ่อนหลักจึงอยู่ที่ระบบรุ่นเก่าที่ค้างอยู่ระหว่างการย้ายขึ้นคลาวด์ ซึ่งยังเข้าถึงได้ด้วย credential ของลูกค้าและอาจไม่มีมาตรการป้องกันเท่าระบบใหม่

แหล่งข่าวเคยบอกกับ BleepingComputer ในช่วงนั้นว่าการขู่กรรโชกโรงพยาบาลที่ได้รับผลกระทบมาจากผู้โจมตีรายเดียวที่ใช้ชื่อ “Andrew” ซึ่งไม่ได้อ้างว่าเกี่ยวข้องกับกลุ่มแรนซัมแวร์หรือกลุ่มขู่กรรโชกที่รู้จักกันมาก่อน ผู้โจมตีเรียกเงินหลายล้านดอลลาร์ในรูปคริปโตเคอร์เรนซีเพื่อแลกกับการไม่ปล่อยหรือขายข้อมูล และตั้งเว็บไซต์สาธารณะเกี่ยวกับเหตุเจาะครั้งนี้เพื่อเพิ่มแรงกดดันต่อเหยื่อ จดหมายแจ้งเหตุตัวอย่างที่ยื่นต่อรัฐแคลิฟอร์เนียระบุว่าข้อมูลที่เกี่ยวข้อง “อาจรวมถึงชื่อ หมายเลขประกันสังคม และข้อมูลในเวชระเบียนผู้ป่วย เช่น หมายเลขเวชระเบียน แพทย์ การวินิจฉัย ยา ผลตรวจ ภาพ การดูแลและการรักษา”

ผลกระทบ

ข้อมูลที่รั่วเป็นการผสมระหว่าง SSN กับข้อมูลทางการแพทย์ ซึ่งเปิดทางให้ทั้งการขโมยตัวตน การฉ้อโกงประกันสุขภาพ และการขู่กรรโชกรายบุคคลจากข้อมูลการวินิจฉัยที่อ่อนไหว ข้อมูลทางการแพทย์ยังเปลี่ยนไม่ได้เหมือนรหัสผ่านหรือบัตรเครดิต ความเสี่ยงจึงอยู่กับผู้ป่วยไปอีกหลายปี ขณะที่ตัวเลขที่เพิ่มขึ้นจากหลักแสนรายรัฐมาเป็นเกือบ 20 ล้านคน สะท้อนว่าการแจ้งเหตุแบบทยอยรายรัฐทำให้ภาพรวมความเสียหายปรากฏช้ากว่าเหตุจริงกว่าปีครึ่ง

ในมุมห่วงโซ่อุปทาน เหตุนี้เป็นตัวอย่างชัดของความเสี่ยงจากผู้ให้บริการ EHR ที่ถือข้อมูลของโรงพยาบาลจำนวนมากไว้ในที่เดียว โรงพยาบาลที่เป็นลูกค้าต้องรับมือทั้งการขู่กรรโชกและภาระแจ้งผู้ป่วย ทั้งที่จุดที่ถูกเจาะคือระบบรุ่นเก่าของผู้ขายที่ยังไม่ได้ย้ายขึ้นคลาวด์

คำแนะนำ

  • องค์กรที่ใช้ผู้ให้บริการ EHR หรือ SaaS ควรขอข้อมูลจากผู้ขายว่าข้อมูลขององค์กรยังอยู่บนระบบรุ่นเก่าส่วนใดบ้างระหว่างการย้ายระบบ และระบบเหล่านั้นมีการควบคุมการเข้าถึงอย่างไร
  • บังคับใช้ MFA กับทุกบัญชีที่เข้าถึงพอร์ทัลหรือเซิร์ฟเวอร์ของผู้ให้บริการ และหมุนเวียน credential ที่ใช้ร่วมกับผู้ขายเป็นประจำ
  • กำหนดในสัญญาให้ผู้ให้บริการแจ้งเหตุภายในกรอบเวลาที่ชัดเจน พร้อมรายละเอียดขอบเขตข้อมูลและจำนวนผู้ได้รับผลกระทบ
  • ปลดระวางหรือแยกเครือข่ายระบบรุ่นเก่าที่ค้างระหว่างการย้ายให้เร็วที่สุด และเฝ้าระวังการล็อกอินจาก IP หรือช่วงเวลาที่ผิดปกติ
  • ผู้ป่วยที่ได้รับจดหมายแจ้งเหตุควรเปิดใช้บริการเฝ้าระวังเครดิต พิจารณาอายัดเครดิต และตรวจใบแจ้งสิทธิประโยชน์ประกันสุขภาพเพื่อหารายการรักษาที่ไม่ได้รับจริง

แหล่งอ้างอิง