การละเมิดข้อมูลด้านสุขภาพขยายตัวจนส่งผลกระทบต่อผู้คนกว่า 190 ล้านคน
ผลจาก การโจมตีด้วยแรนซัมแวร์ Change Healthcare ยังคงทวีความรุนแรงขึ้นเรื่อยๆ โดยปัจจุบันมีการประเมินจำนวนผู้ได้รับผลกระทบสูงถึง 190 ล้านราย การเปิดเผยนี้ซึ่งเปิดเผยโดย UnitedHealth Group ถือเป็นการเพิ่มขึ้นอย่างมากจากรายงานเบื้องต้นที่ระบุว่ามีผู้ได้รับผลกระทบ 100 ล้านราย ทำให้เป็นการละเมิดข้อมูลด้านการดูแลสุขภาพที่ยิ่งใหญ่ที่สุดในปี 2024
สารบัญ
การละเมิดในระดับที่ไม่เคยมีมาก่อน
การละเมิดที่เกิดขึ้นในเดือนกุมภาพันธ์ 2024 เกิดจากกลุ่ม แรนซัมแวร์ Alphv/BlackCat ซึ่งเป็นกลุ่มอาชญากรไซเบอร์ที่ฉาวโฉ่ที่สุดกลุ่มหนึ่งที่โจมตีองค์กรต่างๆ ทั่วโลก ผู้โจมตีแทรกซึมระบบของ Change Healthcare โดยใช้ประโยชน์จากข้อมูลประจำตัวที่ถูกบุกรุกและหลีกเลี่ยงพอร์ทัลการเข้าถึงระยะไกลที่ขาดการพิสูจน์ตัวตนหลายปัจจัย (MFA) ในช่วงเก้าวันที่ไม่ถูกตรวจพบ ผู้โจมตีได้ขโมยข้อมูลผู้ป่วยที่ละเอียดอ่อนก่อนที่จะใช้แรนซัมแวร์เข้ารหัสไฟล์
แม้ว่า UnitedHealth จะยืนยันว่าผู้ที่ได้รับผลกระทบส่วนใหญ่ได้รับแจ้งแล้ว แต่บริษัทระบุว่ายังไม่พบการใช้ข้อมูลผู้ป่วยในทางที่ผิดหรือการปรากฏของบันทึกทางการแพทย์บนแพลตฟอร์มที่ผิดกฎหมาย อย่างไรก็ตาม ขนาดของการละเมิดและลักษณะละเอียดอ่อนของข้อมูลที่ถูกขโมยยังคงมีความเสี่ยงอย่างต่อเนื่อง
การเจรจาค่าไถ่ที่ล้มเหลวและผลที่ตามมา
เพื่อป้องกันการรั่วไหลของข้อมูลอันเลวร้าย UnitedHealth ยอมจ่ายเงินค่าไถ่ 22 ล้านดอลลาร์ให้กับผู้โจมตี อย่างไรก็ตาม กลุ่ม BlackCat ไม่สามารถทำตามข้อตกลงได้ ทำให้เกิดข้อโต้แย้งภายในระหว่างผู้ดำเนินการแรนซัมแวร์ ในความโกลาหลที่เกิดขึ้น กลุ่มแรนซัมแวร์อีกกลุ่มหนึ่งที่มีชื่อว่า RansomHub ได้ใช้ประโยชน์จากสถานการณ์ดังกล่าว โดยพยายามรีดไถ Change Healthcare ในเดือนเมษายน 2024 โดยเผยแพร่ข้อมูลที่ถูกขโมยไปบางส่วนทางออนไลน์
เหตุการณ์ชุดนี้ไม่เพียงแต่ทำให้ผลกระทบของการละเมิดรุนแรงขึ้นเท่านั้น แต่ยังได้ตั้งคำถามเกี่ยวกับความน่าเชื่อถือในการจ่ายค่าไถ่ในคดีรีดไถทางไซเบอร์อีกด้วย
ผลกระทบด้านการเงินและกฎระเบียบ
Change Healthcare ประเมินว่าการละเมิดดังกล่าวอาจส่งผลให้เกิดความสูญเสียรวมมูลค่า 2.9 พันล้านดอลลาร์ โดยตัวเลขดังกล่าวมีแนวโน้มว่าจะเพิ่มขึ้นเรื่อยๆ เมื่อการสืบสวนยังคงดำเนินต่อไป ภาคส่วนการดูแลสุขภาพซึ่งได้รับผลกระทบจากการโจมตีหลายครั้งในช่วงไม่กี่ปีที่ผ่านมา เผชิญกับแรงกดดันที่เพิ่มขึ้นในการปรับปรุงมาตรการรักษาความปลอดภัย
ตามข้อมูลของกระทรวงสาธารณสุขและบริการมนุษย์ของสหรัฐอเมริกา (HHS) การละเมิดข้อมูลด้านการดูแลสุขภาพในปี 2024 ส่งผลกระทบต่อข้อมูลผู้ใช้แล้ว 186 ล้านรายการ และ ด้วยตัวเลขที่แก้ไขจาก Change Healthcare ทำให้ตอนนี้ข้อมูลดังกล่าวมีมากกว่า 275 ล้านรายการแล้ว
เหตุใดการละเมิดนี้จึงสำคัญ
เหตุการณ์ Change Healthcare เน้นย้ำถึงจุดอ่อนสำคัญหลายประการในภาคส่วนการดูแลสุขภาพ:
- โปรโตคอลการตรวจสอบสิทธิ์ที่ไม่เพียงพอ : ผู้โจมตีใช้ประโยชน์จากพอร์ทัลการเข้าถึงระยะไกลที่ไม่มี MFA ซึ่งเป็นมาตรการรักษาความปลอดภัยพื้นฐานแต่สำคัญ
- การเคลื่อนไหวในแนวข้าง : เมื่อเข้าไปในเครือข่ายแล้ว ผู้โจมตีก็สามารถนำทางระบบเพื่อเข้าถึงข้อมูลที่ละเอียดอ่อนได้สำเร็จ
- ความเสี่ยงจากการชำระเงินด้วยแรนซัมแวร์ : การละเมิดดังกล่าวเน้นย้ำถึงความเสี่ยงที่เกี่ยวข้องกับการจ่ายค่าไถ่ แม้ว่าจะชำระเงินแล้ว องค์กรยังต้องเผชิญกับความพยายามรีดไถเพิ่มเติมและการรั่วไหลของข้อมูลบางส่วน
การปลุกให้ตื่นเพื่อความปลอดภัยทางไซเบอร์ของการดูแลสุขภาพ
ขอบเขตอันกว้างใหญ่ของการละเมิดนี้ถือเป็นการเตือนให้องค์กรด้านการดูแลสุขภาพทั่วโลกตระหนักรู้ ภาคส่วนนี้ยังคงเป็นเป้าหมายหลักของกลุ่มแรนซัมแวร์เนื่องจากข้อมูลมีความสำคัญและละเอียดอ่อน เพื่อลดความเสี่ยง องค์กรด้านการดูแลสุขภาพต้อง:
- นำแบบจำลองความปลอดภัยแบบ Zero Trust มาใช้ : ให้แน่ใจว่าไม่มีผู้ใช้หรืออุปกรณ์ใดได้รับการเชื่อถือตามค่าเริ่มต้น แม้จะอยู่ในเครือข่ายภายในก็ตาม
- การบังคับใช้การตรวจสอบปัจจัยหลายประการ (MFA) : ใช้ MFA ในระบบทั้งหมดเพื่อป้องกันการเข้าถึงโดยไม่ได้รับอนุญาต
- ปรับปรุงการตรวจจับและการตอบสนองต่อเหตุการณ์ : ใช้เครื่องมือตรวจสอบขั้นสูงเพื่อตรวจจับการบุกรุกในระยะเริ่มต้นและตอบสนองอย่างมีประสิทธิภาพ
- ดำเนินการฝึกอบรมด้านความปลอดภัยทางไซเบอร์เป็นประจำ : เสริมความรู้ให้แก่พนักงานเพื่อให้สามารถรับรู้ถึงความพยายามฟิชชิ่งและภัยคุกคามทางไซเบอร์อื่นๆ
ก้าวไปข้างหน้า
แม้ว่า Change Healthcare จะอ้างว่าไม่มีหลักฐานการใช้ข้อมูลในทางที่ผิด แต่ปริมาณข้อมูลที่ถูกขโมยมหาศาลทำให้ผู้คนนับล้านเสี่ยงต่อการโจรกรรมข้อมูลประจำตัวและการฉ้อโกงไปอีกหลายปี สำหรับธุรกิจและบุคคลทั่วไป เหตุการณ์นี้เน้นย้ำถึงความสำคัญของการเฝ้าระวัง มาตรการรักษาความปลอดภัยทางไซเบอร์ที่เข้มงวด และความจริงที่น่าตกใจที่ว่าไม่มีระบบใดที่จะปลอดภัยจากการโจมตีที่ซับซ้อนได้อย่างสมบูรณ์
ภาคส่วนการดูแลสุขภาพต้องดำเนินการอย่างเด็ดขาดเพื่อเสริมสร้างการป้องกันหรือเสี่ยงต่อการละเมิดเพิ่มเติมซึ่งอาจก่อให้เกิดอันตรายไม่เพียงแต่ต่อเสถียรภาพทางการเงินเท่านั้น แต่ยังรวมถึงความไว้วางใจและความปลอดภัยของผู้ป่วยด้วย