Thay đổi vi phạm dữ liệu chăm sóc sức khỏe mở rộng ảnh hưởng đến 190 triệu cá nhân

Hậu quả từ cuộc tấn công ransomware Change Healthcare tiếp tục leo thang, với số lượng cá nhân bị ảnh hưởng hiện ước tính lên tới 190 triệu người. Tiết lộ này, được UnitedHealth Group tiết lộ, đánh dấu sự gia tăng đáng kể so với báo cáo ban đầu là 100 triệu cá nhân bị ảnh hưởng, khiến đây trở thành vụ vi phạm dữ liệu chăm sóc sức khỏe quan trọng nhất năm 2024.

Một sự vi phạm ở quy mô chưa từng có

Vụ vi phạm xảy ra vào tháng 2 năm 2024, được cho là do nhóm ransomware Alphv/BlackCat , một trong những tổ chức tội phạm mạng khét tiếng nhất nhắm vào các tổ chức trên toàn cầu. Những kẻ tấn công đã xâm nhập vào hệ thống của Change Healthcare bằng cách khai thác thông tin đăng nhập bị xâm phạm và bỏ qua cổng truy cập từ xa không có xác thực đa yếu tố (MFA). Trong chín ngày không bị phát hiện, những kẻ tấn công đã đánh cắp dữ liệu nhạy cảm của bệnh nhân trước khi triển khai ransomware mã hóa tệp .

Trong khi UnitedHealth xác nhận rằng phần lớn những cá nhân bị ảnh hưởng đã được thông báo, họ tuyên bố rằng cho đến nay chưa phát hiện thấy việc sử dụng sai dữ liệu bệnh nhân hoặc hồ sơ y tế trên các nền tảng bất hợp pháp. Mặc dù vậy, quy mô của vụ vi phạm và bản chất nhạy cảm của dữ liệu bị đánh cắp vẫn tiếp tục gây ra rủi ro.

Đàm phán tiền chuộc thất bại và hậu quả

Để ngăn chặn một vụ rò rỉ dữ liệu thảm khốc, UnitedHealth đã trả 22 triệu đô la tiền chuộc cho những kẻ tấn công. Tuy nhiên, nhóm BlackCat đã không thực hiện đúng thỏa thuận, gây ra tranh chấp nội bộ giữa những người điều hành ransomware. Trong sự hỗn loạn sau đó, một nhóm ransomware khác, RansomHub, đã lợi dụng tình hình. Chúng đã cố gắng tống tiền Change Healthcare vào tháng 4 năm 2024 bằng cách công bố một phần dữ liệu bị đánh cắp trực tuyến.

Chuỗi sự kiện này không chỉ làm trầm trọng thêm tác động của vụ vi phạm mà còn đặt ra câu hỏi về độ tin cậy của việc trả tiền chuộc trong các vụ tống tiền trên mạng.

Sự sụp đổ về mặt tài chính và quy định

Change Healthcare ước tính rằng vụ vi phạm có thể gây ra thiệt hại lên tới 2,9 tỷ đô la, với khả năng con số này sẽ tăng lên khi các cuộc điều tra tiếp tục. Ngành chăm sóc sức khỏe, vốn đã phải vật lộn với nhiều cuộc tấn công trong những năm gần đây, đang phải đối mặt với áp lực ngày càng tăng để cải thiện các biện pháp an ninh.

Theo Bộ Y tế và Dịch vụ Nhân sinh Hoa Kỳ (HHS), các vụ vi phạm dữ liệu chăm sóc sức khỏe vào năm 2024 đã ảnh hưởng đến 186 triệu hồ sơ người dùng . Với số liệu đã sửa đổi từ Change Healthcare, tổng số này hiện đã vượt quá con số đáng kinh ngạc là 275 triệu hồ sơ.

Tại sao vi phạm này quan trọng

Sự cố Change Healthcare nêu bật một số lỗ hổng quan trọng trong lĩnh vực chăm sóc sức khỏe:

1. Giao thức xác thực không đầy đủ : Kẻ tấn công đã khai thác cổng truy cập từ xa không có MFA, một biện pháp bảo mật cơ bản nhưng quan trọng.
2. Di chuyển ngang : Khi đã vào được bên trong mạng, kẻ tấn công có thể điều hướng thành công hệ thống để truy cập dữ liệu nhạy cảm.
3. Rủi ro thanh toán bằng phần mềm tống tiền : Vụ vi phạm này nhấn mạnh những rủi ro liên quan đến việc trả tiền chuộc. Ngay cả sau khi thanh toán, tổ chức vẫn phải đối mặt với các nỗ lực tống tiền bổ sung và rò rỉ dữ liệu một phần.

Lời cảnh tỉnh cho an ninh mạng chăm sóc sức khỏe

Phạm vi rộng lớn của vụ vi phạm này là lời cảnh tỉnh cho các tổ chức chăm sóc sức khỏe trên toàn thế giới. Ngành này vẫn là mục tiêu chính của các nhóm ransomware do tính chất quan trọng và nhạy cảm của dữ liệu. Để giảm thiểu rủi ro, các tổ chức chăm sóc sức khỏe phải:

• Áp dụng mô hình bảo mật Zero Trust : Đảm bảo rằng không có người dùng hoặc thiết bị nào được tin cậy theo mặc định, ngay cả trong các mạng nội bộ.
• Yêu cầu xác thực đa yếu tố (MFA) : Triển khai MFA trên tất cả các hệ thống để ngăn chặn truy cập trái phép.
• Nâng cao khả năng phát hiện và ứng phó sự cố : Triển khai các công cụ giám sát tiên tiến để phát hiện sớm các cuộc xâm nhập và ứng phó hiệu quả.
• Tiến hành đào tạo an ninh mạng thường xuyên : Trang bị cho nhân viên kiến thức để nhận biết các nỗ lực lừa đảo và các mối đe dọa mạng khác.

Tiến về phía trước

Trong khi Change Healthcare tuyên bố không có bằng chứng về việc sử dụng sai dữ liệu, khối lượng lớn hồ sơ bị đánh cắp khiến hàng triệu cá nhân dễ bị đánh cắp danh tính và gian lận trong nhiều năm tới. Đối với cả doanh nghiệp và cá nhân, sự cố này nhấn mạnh tầm quan trọng của sự cảnh giác, các biện pháp an ninh mạng mạnh mẽ và thực tế đáng lo ngại rằng không có hệ thống nào hoàn toàn miễn nhiễm với các cuộc tấn công tinh vi.

Ngành chăm sóc sức khỏe phải hành động quyết đoán để tăng cường khả năng phòng thủ hoặc phải đối mặt với nguy cơ vi phạm thêm nữa có thể gây nguy hiểm không chỉ đến sự ổn định tài chính mà còn cả lòng tin và sự an toàn của bệnh nhân.