สรุปสั้น

บริษัท Quest Diagnostics ผู้ให้บริการห้องปฏิบัติการทางการแพทย์รายใหญ่ของสหรัฐฯ ยื่นเอกสารต่อสำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์สหรัฐฯ (SEC) เมื่อวันพฤหัสบดีที่ 22 ตุลาคม 2569 แจ้งว่ามีการเข้าถึงโดยไม่ได้รับอนุญาตใน Quanum Lab Services Manager แพลตฟอร์มที่ลูกค้าบางรายใช้สั่งตรวจทางห้องปฏิบัติการและรับหรือค้นดูผลตรวจ บริษัทพบเหตุเมื่อวันพุธที่ 21 ตุลาคม และได้แจ้งหน่วยงานบังคับใช้กฎหมายระดับรัฐบาลกลางแล้ว

Quest Diagnostics เชื่อว่า “ข้อมูลผู้ป่วยบางส่วน” ถูกเข้าถึง แต่ยังไม่รู้ว่ามีผู้ป่วยกี่รายและข้อมูลชนิดใดที่ได้รับผลกระทบ เพราะขอบเขตทั้งหมดยังอยู่ระหว่างสอบสวนร่วมกับผู้เชี่ยวชาญด้านความปลอดภัยภายนอก บริษัทยืนยันกับสำนักข่าว AP ว่าเหตุนี้ไม่เกี่ยวกับช่องโหว่ PHP2Shell ที่ทำให้องค์กรทั่วโลกเร่งแพตช์อยู่ในสัปดาห์เดียวกัน เอกสารยังไม่ระบุตัวผู้โจมตี ช่องทางเจาะ หรือว่ามีการเรียกค่าไถ่หรือไม่

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 23 ตุลาคม 2569 ว่า Quest Diagnostics ซึ่งมีสำนักงานใหญ่ในรัฐนิวเจอร์ซีย์ รายงานการเข้าถึงโดยไม่ได้รับอนุญาตต่อ Quanum Lab Services Manager ในเอกสารแจ้งต่อหน่วยงานกำกับ แพลตฟอร์มนี้เป็นช่องทางที่ลูกค้าบางกลุ่ม เช่น สถานพยาบาลและแพทย์ ใช้ส่งคำสั่งตรวจและดูผลการตรวจของผู้ป่วย ข้อมูลในระบบจึงผูกกับผลแล็บและข้อมูลส่วนบุคคลของผู้ป่วยโดยตรง

บริษัทระบุว่าพบเหตุในวันพุธ แจ้งหน่วยงานบังคับใช้กฎหมายของรัฐบาลกลาง และว่าจ้างผู้เชี่ยวชาญด้านความปลอดภัยภายนอกช่วยตอบสนอง แต่ยังไม่รู้จำนวนผู้ป่วยและชนิดของระเบียนที่ได้รับผลกระทบ บริษัทเชื่อเพียงว่า “ข้อมูลผู้ป่วยบางส่วน” ถูกเข้าถึง และขอบเขตทั้งหมดยังอยู่ระหว่างสอบสวน

เหตุนี้เกิดในสัปดาห์เดียวกับที่ช่องโหว่ PHP ที่ค้นพบด้วย AI ทำให้หลายองค์กรเร่งแพตช์จนบริการหยุดชะงัก (ดูโพสต์ 215) แต่ Quest Diagnostics ยืนยันกับ AP จากผลสอบสวนของบริษัทว่าเหตุของตนไม่เกี่ยวกับปัญหา PHP ดังกล่าว

ขอบเขตเหตุการณ์และประวัติที่ผ่านมา

ข้อมูลที่เปิดเผยถึงตอนนี้ยังจำกัดมาก เอกสารแจ้ง SEC ไม่ระบุว่าผู้โจมตีเข้าถึงระบบอย่างไร ไม่ว่าจะผ่านบัญชีลูกค้าที่ถูกขโมย ช่องโหว่ในแพลตฟอร์ม หรือผู้ให้บริการภายนอก ไม่ระบุว่าข้อมูลถูกคัดลอกออกไปหรือไม่ และยังไม่มีกลุ่มใดอ้างความรับผิดชอบ จึงยังสรุปไม่ได้ว่าเป็นการโจมตีแบบเรียกค่าไถ่

นี่ไม่ใช่ครั้งแรกที่ Quest Diagnostics เผชิญเหตุที่กระทบข้อมูลผู้ป่วย ในปี 2559 บริษัทแจ้งว่าข้อมูลรวมถึงผลแล็บและข้อมูลติดต่อของผู้ป่วยราว 34,000 รายรั่วจากการเจาะระบบออนไลน์ และในปี 2562 ข้อมูลส่วนบุคคลของผู้ป่วย Quest ราว 11.9 ล้านรายได้รับผลกระทบจากเหตุเจาะระบบที่ American Medical Collection Agency ผู้ให้บริการเรียกเก็บเงิน ประวัตินี้สะท้อนว่าจุดอ่อนอาจอยู่ทั้งในแพลตฟอร์มที่เปิดให้ลูกค้าเข้าถึงและในห่วงโซ่ผู้ให้บริการ

ผลกระทบ

ข้อมูลผลตรวจทางห้องปฏิบัติการเป็นข้อมูลสุขภาพที่อ่อนไหวสูง หากรั่วจริง ผู้ป่วยเสี่ยงต่อการถูกฉ้อโกงทางการแพทย์ การหลอกลวงที่อ้างผลตรวจ และการถูกกดดันหรือแบล็กเมล ส่วนแพลตฟอร์มอย่าง Quanum ที่เชื่อมกับสถานพยาบาลจำนวนมาก การถูกเจาะจึงอาจกระทบลูกค้าหลายรายในคราวเดียว และลูกค้าเหล่านั้นอาจมีหน้าที่แจ้งเหตุต่อผู้ป่วยของตนเองด้วย

ในภาพใหญ่ เหตุนี้ต่อเนื่องจากกระแสการโจมตีภาคสาธารณสุขของสหรัฐฯ ที่ยังไม่ลดลง และตอกย้ำว่าพอร์ทัลที่เปิดให้ลูกค้าภายนอกเข้าถึงข้อมูลผู้ป่วยเป็นจุดที่ต้องเฝ้าระวังพอ ๆ กับระบบภายใน

คำแนะนำ

  • สถานพยาบาลและแพทย์ที่ใช้ Quanum Lab Services Manager ตรวจบัญชีผู้ใช้ของตน หมุนเวียนรหัสผ่าน เปิด MFA และติดตามประกาศจาก Quest Diagnostics อย่างใกล้ชิด
  • ผู้ป่วยระวังอีเมล ข้อความ หรือสายโทรศัพท์ที่อ้างชื่อ Quest Diagnostics หรือผลตรวจ และไม่ให้ข้อมูลส่วนตัวหรือชำระเงินผ่านลิงก์ที่ส่งมา
  • องค์กรที่ให้บริการพอร์ทัลแก่ลูกค้าภายนอก ควรบังคับ MFA ตรวจจับการดาวน์โหลดผลหรือระเบียนจำนวนมากผิดปกติ และจำกัดสิทธิ์ให้เห็นเฉพาะข้อมูลผู้ป่วยของตน
  • ทบทวนความปลอดภัยของผู้ให้บริการภายนอกที่เข้าถึงข้อมูลผู้ป่วย เช่น บริษัทเรียกเก็บเงิน ตามบทเรียนจากเหตุ AMCA

แหล่งอ้างอิง