Paradigm Healthcare ผู้รับทำบิล Medi-Cal ข้อมูลรั่วกว่า 970,000 ราย — ใช้เวลา 11 เดือนกว่าจะแจ้งผู้เสียหาย

สรุปสั้น

บริษัท Paradigm Healthcare Services จากซานฟรานซิสโก ผู้รับทำบิลให้ Medi-Cal ซึ่งเป็นโครงการ Medicaid ของรัฐแคลิฟอร์เนีย ภายใต้ข้อตกลงการใช้ข้อมูลกับกรมบริการดูแลสุขภาพแคลิฟอร์เนีย (DHCS) แจ้งกระทรวงสาธารณสุขและบริการมนุษย์สหรัฐฯ (HHS) ว่าเหตุข้อมูลรั่วที่ตรวจพบเมื่อปีที่แล้วกระทบผู้คนมากกว่า 970,000 ราย บริษัทพบการเข้าถึงเครือข่ายภายในโดยไม่ได้รับอนุญาตเมื่อวันที่ 13 ตุลาคม 2568 และผู้บุกรุกอยู่ในระบบระหว่างวันที่ 8 ถึง 15 ตุลาคม 2568 ไฟล์ที่ถูกเข้าถึงมีชื่อ วันเกิด เพศ และเลขประจำตัวสมาชิก Medi-Cal ซึ่ง Paradigm ดูแลแทน DHCS ส่วนแพลตฟอร์มเอกสารบริการออนไลน์และระบบออกบิล Student Health Network (SHN) ไม่ได้รับผลกระทบ

ประเด็นที่น่าสังเกตคือระยะเวลา บริษัทเพิ่งสรุปได้ว่าไฟล์ใดถูกเข้าถึงเมื่อวันที่ 18 สิงหาคม 2569 และจดหมายแจ้งผู้เสียหายลงวันที่ 14 กันยายน 2569 ห่างจากวันที่ตรวจพบเกือบ 11 เดือน ประกาศไม่ระบุชื่อผู้โจมตี วิธีเจาะระบบ หรือแม้แต่ว่าข้อมูลถูกนำออกไปหรือไม่ และยังไม่มีกลุ่มอาชญากรไซเบอร์ใดอ้างผลงาน บริษัทระบุว่ายังไม่พบหลักฐานการนำข้อมูลไปใช้ฉ้อโกง ฐานข้อมูลเหตุข้อมูลรั่วด้านสุขภาพของ HHS ยังอัปเดตเหตุของสำนักงานกฎหมาย Tarter Krinsky & Drogin (196,000 ราย) และร้านขายยา Ridgeway Pharmacy (258,000 ราย) ในรอบเดียวกัน

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 20 ตุลาคม 2569 ว่า Paradigm ระบุในประกาศว่า “เมื่อวันที่ 18 สิงหาคม 2569 เราพบว่าไฟล์บางส่วนที่มีข้อมูลสุขภาพที่ได้รับความคุ้มครอง (PHI) ของบุคคลบางรายอาจถูกบุคคลที่ไม่ได้รับอนุญาตเข้าถึง ระหว่างวันที่ 8 ถึง 15 ตุลาคม 2568” หลังพบเหตุ บริษัทปิดระบบบางส่วน แจ้งเจ้าหน้าที่บังคับใช้กฎหมาย และว่าจ้างผู้เชี่ยวชาญตอบสนองเหตุการณ์จากภายนอก

ในจดหมายแจ้งผู้เสียหาย บริษัทระบุว่า “เราไม่มีหลักฐานว่าข้อมูลของท่านถูกใช้ฉ้อโกงหรือขโมยอัตลักษณ์อันเป็นผลจากเหตุการณ์นี้” แต่ข้อมูลที่รั่วอย่างชื่อ วันเกิด และเลขสมาชิก Medi-Cal เพียงพอสำหรับการแอบอ้างใช้สิทธิ์รักษาพยาบาลหรือฟิชชิงแบบเจาะจงที่อ้างว่ามาจากหน่วยงานสาธารณสุข

ในรอบเดียวกัน สำนักงานกฎหมาย Tarter Krinsky & Drogin (TKD) ซึ่งให้บริการแก่ผู้ให้บริการด้านสุขภาพ เริ่มแจ้งผู้เสียหายต้นเดือนกันยายน หลังตรวจพบกิจกรรมน่าสงสัยในเครือข่ายเมื่อกันยายน 2568 การสอบสวนใช้เวลาหนึ่งปีและพบว่าผู้โจมตีเข้าถึงเซิร์ฟเวอร์บางเครื่องระหว่าง 9 กรกฎาคมถึง 9 กันยายน 2568 กระทบมากกว่า 196,000 ราย ส่วนร้านขายยา Ridgeway Pharmacy พบเมื่อ 21 สิงหาคม 2569 ว่าเว็บไซต์ถูกแฮ็ก และผู้โจมตีอาจเข้าถึงชื่อ ที่อยู่ วันเกิด ข้อมูลสุขภาพและประกัน ข้อมูลใบสั่งยา และข้อมูลบัตรชำระเงิน ของผู้คนมากกว่า 258,000 ราย

รายละเอียดเหตุการณ์

ทั้งสามกรณีมีลักษณะร่วมกันคือเป็นผู้ให้บริการภายนอกหรือคู่ค้า (business associate) ที่ถือข้อมูลผู้ป่วยแทนหน่วยงานสุขภาพหลัก และใช้เวลานานในการสอบสวนก่อนแจ้งผู้เสียหาย กรณีของ Paradigm และ TKD ใช้เวลาเกือบหรือราวหนึ่งปีจากวันตรวจพบจนถึงวันแจ้ง ขณะที่รายละเอียดเชิงเทคนิค เช่น ช่องทางเข้า ผู้โจมตี หรือการนำข้อมูลออก ไม่มีการเปิดเผยในทุกกรณี

ผลกระทบ

ผู้ได้รับผลกระทบส่วนใหญ่คือสมาชิก Medi-Cal ซึ่งเป็นกลุ่มผู้มีรายได้น้อย ผู้สูงอายุ และผู้พิการ ที่มักมีทรัพยากรน้อยในการรับมือการแอบอ้างตัวตน เลขสมาชิก Medi-Cal คู่กับชื่อและวันเกิดเปิดทางให้แอบอ้างใช้สิทธิ์รักษาพยาบาล (medical identity theft) ซึ่งตรวจพบยากกว่าการฉ้อโกงทางการเงิน และอาจทำให้ประวัติการรักษาของผู้เสียหายปนเปื้อน

กรณีนี้ยังสะท้อนความเสี่ยงจากผู้รับจ้างภายนอกในภาคสาธารณสุข หน่วยงานรัฐอย่าง DHCS ส่งมอบข้อมูลสมาชิกให้บริษัทเอกชนขนาดเล็กดูแล แต่การตรวจจับและการสอบสวนของผู้รับจ้างกลับใช้เวลาเกือบปี ขณะที่ช่องว่างระหว่างวันพบเหตุกับวันแจ้งที่ยาวขนาดนี้ทำให้ผู้เสียหายเสียโอกาสป้องกันตัวเองในช่วงที่ข้อมูลอาจถูกใช้ได้มากที่สุด

คำแนะนำ

• หน่วยงานที่ส่งข้อมูลให้ผู้รับจ้างภายนอก ควรกำหนดในสัญญาให้แจ้งเหตุภายในกรอบเวลาสั้น และกำหนดสิทธิ์ตรวจสอบมาตรการความปลอดภัย รวมถึงการเก็บล็อกให้นานพอสำหรับการสอบสวน
• ลดข้อมูลที่ส่งให้ผู้รับจ้างเหลือเท่าที่จำเป็น และแยกเก็บเลขประจำตัวสมาชิกหรือเลขประกันออกจากข้อมูลระบุตัวตนอื่นเมื่อทำได้
• เตรียม playbook ตอบสนองเหตุการณ์ที่ระบุขอบเขตข้อมูลที่ได้รับผลกระทบได้เร็ว เช่น การทำบัญชีข้อมูล (data inventory) และการติดแท็กไฟล์ที่มี PHI ล่วงหน้า
• ผู้เสียหายควรตรวจเอกสารสรุปสิทธิประโยชน์ (Explanation of Benefits) ว่ามีรายการรักษาที่ไม่ได้ใช้จริงหรือไม่ และระวังการติดต่อที่อ้างว่ามาจาก Medi-Cal หรือ DHCS
• ร้านค้าออนไลน์ด้านสุขภาพที่รับชำระเงินบนเว็บไซต์ ควรตรวจหา web skimmer และแยกระบบชำระเงินออกจากเว็บไซต์หลัก

แหล่งอ้างอิง

• SecurityWeek — 970,000 Medi-Cal Members Affected by Paradigm Healthcare Data Breach
• Paradigm Healthcare — Notice of Data Incident
• HHS OCR — Breach Portal
• California AG — Tarter Krinsky & Drogin Notice of Data Event