Change Healthcare เผชิญวิกฤตข้อมูลรั่วไหลครั้งใหญ่ หลังกลุ่มแฮกเกอร์ขู่ขายข้อมูลผู้ป่วยสหรัฐฯ
วิกฤตความปลอดภัยทางไซเบอร์ของ Change Healthcare ทวีความรุนแรงขึ้นอีกครั้ง เมื่อกลุ่มอาชญากรทางไซเบอร์ที่เรียกตัวเองว่า RansomHub ออกมาประกาศขายข้อมูลที่อ้างว่าขโมยมาจากบริษัท ซึ่งประกอบด้วยข้อมูลทางการแพทย์และข้อมูลทางการเงินที่มีความอ่อนไหวสูงของชาวอเมริกันจำนวนมาก
เหตุการณ์นี้ถือเป็นผลกระทบระลอกใหม่ที่ต่อเนื่องมาจากการโจมตีด้วย Ransomware (มัลแวร์เรียกค่าไถ่ หรือซอฟต์แวร์ที่เข้ารหัสข้อมูลเพื่อเรียกเงินแลกกับการปลดล็อก) เมื่อเดือนกุมภาพันธ์ที่ผ่านมา ซึ่งในครั้งนั้นได้สร้างความเสียหายอย่างหนักจนระบบการชำระเงินค่ารักษาพยาบาลในสหรัฐฯ เป็นอัมพาต ส่งผลให้โรงพยาบาลหลายแห่งประสบปัญหาด้านเงินทุนในการดำเนินงาน
รายละเอียดข้อมูลที่ถูกโจรกรรม
จากหลักฐานภาพถ่ายหน้าจอที่กลุ่ม RansomHub นำมาเผยแพร่ พบว่าข้อมูลที่ถูกขโมยไปมีความหลากหลายและครอบคลุมข้อมูลสำคัญหลายด้าน ดังนี้:
- ข้อมูลสุขภาพ: ประวัติการรักษาพยาบาลและข้อมูลทางทันตกรรม
- ข้อมูลการเงิน: รายละเอียดการเคลมค่ารักษาพยาบาล และข้อมูลประกันภัย
- ข้อมูลระบุตัวตน: หมายเลขประกันสังคม (Social Security numbers) และที่อยู่อีเมล
- ข้อมูลเฉพาะกลุ่ม: ข้อมูลด้านสุขภาพของบุคลากรทางทหารสหรัฐฯ ที่ยังปฏิบัติหน้าที่อยู่
สาเหตุที่ข้อมูลมีปริมาณมหาศาลและหลากหลาย เนื่องจาก Change Healthcare ทำหน้าที่เป็นตัวกลางสำคัญระหว่างบริษัทประกันภัยและผู้ให้บริการทางการแพทย์ เพื่ออำนวยความสะดวกในการชำระเงินและจัดเก็บข้อมูลการรักษาของผู้ป่วย
ผลกระทบต่อบริษัทพันธมิตรและการเรียกค่าไถ่
กลุ่ม RansomHub ได้ระบุชื่อบริษัทที่ได้รับผลกระทบจากการรั่วไหลครั้งนี้ ได้แก่ MetLife, CVS Caremark, Davis Vision, Health Net และ Teachers Health Trust โดยกลุ่มแฮกเกอร์เสนอให้บริษัทประกันเหล่านี้จ่ายค่าไถ่เป็นรายบริษัทเพื่อระงับการขายข้อมูลของตน
ทางด้าน CVS Health ได้ออกมาชี้แจงว่ารับทราบถึงการกล่าวอ้างของกลุ่มผู้ไม่หวังดีแล้ว แต่ระบุว่าข้อมูลดังกล่าวยังไม่มีหลักฐานยืนยันแน่ชัด และกำลังเฝ้าติดตามการตอบสนองของ Change Healthcare อย่างใกล้ชิด
| หัวข้อ | รายละเอียด |
|---|---|
| กลุ่มแฮกเกอร์ที่เกี่ยวข้อง | BlackCat (AlphV) และ RansomHub |
| มูลค่าค่าไถ่ที่คาดว่าจ่ายให้ AlphV | 22 ล้านดอลลาร์สหรัฐ |
| ค่าใช้จ่ายในการจัดการเหตุการณ์ (ถึง 31 มี.ค.) | 872 ล้านดอลลาร์สหรัฐ |
| หน่วยงานที่ตรวจสอบ | กระทรวงสาธารณสุขและบริการมนุษย์ (HHS) และคณะกรรมการพลังงานและพาณิชย์ของสภาผู้แทนราษฎร |
แรงกดดันทางกฎหมายและการวิเคราะห์จากผู้เชี่ยวชาญ
Brett Callow นักวิเคราะห์ภัยคุกคามจาก Emsisoft มองว่าการประกาศขายข้อมูลในครั้งนี้อาจไม่ใช่เป้าหมายหลักเพื่อทำกำไรจากการขายข้อมูล แต่เป็นกลยุทธ์ในการสร้างแรงกดดันให้ Change Healthcare และบริษัทพันธมิตรยอมจ่ายเงินค่าไถ่เพิ่มเติม
ในขณะเดียวกัน UnitedHealth Group ซึ่งเป็นบริษัทแม่ของ Change Healthcare กำลังถูกกดดันอย่างหนักจากฝ่ายนิติบัญญัติและหน่วยงานกำกับดูแล โดยมีการตั้งคำถามถึงความหละหลวมของระบบรักษาความปลอดภัย และการตรวจสอบว่าบริษัทได้ละเมิดกฎระเบียบความปลอดภัยของข้อมูลระดับรัฐบาลกลางหรือไม่
ข้อเท็จจริงสำคัญ
- RansomHub อ้างว่าครอบครองข้อมูลส่วนบุคคลและข้อมูลสุขภาพของชาวอเมริกันจำนวนมาก
- ข้อมูลที่รั่วไหลรวมถึงประวัติการรักษา หมายเลขประกันสังคม และข้อมูลของทหารสหรัฐฯ
- Change Healthcare เคยจ่ายค่าไถ่ให้กลุ่ม AlphV ไปแล้วประมาณ 22 ล้านดอลลาร์
- บริษัทใช้เงินไปกว่า 872 ล้านดอลลาร์ในการแก้ไขวิกฤตการณ์ไซเบอร์ครั้งนี้
- หน่วยงานรัฐบาลสหรัฐฯ กำลังสอบสวนการละเมิดกฎความปลอดภัยของข้อมูล
คำถามที่พบบ่อย
ข้อมูลประเภทใดบ้างที่ถูกขโมยไปจาก Change Healthcare?
ข้อมูลที่ถูกอ้างว่ารั่วไหลประกอบด้วย ประวัติการรักษาพยาบาลและทันตกรรม, รายละเอียดการเคลมประกัน, หมายเลขประกันสังคม, อีเมล และข้อมูลสุขภาพของบุคลากรทางทหารสหรัฐฯ
กลุ่ม RansomHub มีเป้าหมายอะไรในการประกาศขายข้อมูล?
นอกจากการขายข้อมูลแล้ว ผู้เชี่ยวชาญวิเคราะห์ว่าเป็นการสร้างแรงกดดันให้ Change Healthcare และบริษัทคู่ค้าที่ได้รับผลกระทบยอมจ่ายเงินค่าไถ่เพื่อปกป้องข้อมูล
บริษัทใดบ้างที่ถูกระบุว่าข้อมูลรั่วไหลในครั้งนี้?
กลุ่มแฮกเกอร์ระบุชื่อบริษัท ได้แก่ MetLife, CVS Caremark, Davis Vision, Health Net และ Teachers Health Trust
Change Healthcare ได้รับความเสียหายทางการเงินอย่างไรบ้าง?
บริษัทรายงานว่าใช้จ่ายเงินไปถึง 872 ล้านดอลลาร์สหรัฐในการตอบสนองต่อเหตุการณ์นี้ (ข้อมูล ณ วันที่ 31 มีนาคม) และมีการระบุว่าได้จ่ายค่าไถ่ให้กลุ่ม AlphV ไป 22 ล้านดอลลาร์
ปัจจุบันมีการดำเนินการทางกฎหมายอย่างไร?
กระทรวงสาธารณสุขและบริการมนุษย์ (HHS) กำลังตรวจสอบว่าบริษัทละเมิดกฎความปลอดภัยข้อมูลของรัฐบาลกลางหรือไม่ ขณะที่คณะกรรมการของสภาผู้แทนราษฎรได้จัดรับฟังความคิดเห็นเกี่ยวกับความปลอดภัยทางไซเบอร์ในภาคส่วนสุขภาพ
