การโจมตีแบบ Social Engineering เผยช่องโหว่ข้อมูลผู้ป่วยในโรงพยาบาล

การทดสอบความปลอดภัยของโรงพยาบาลหนึ่งเผยให้เห็นว่าการใช้เทคนิค social engineering สามารถทำให้ผู้โจมตีเข้าถึงแฟ้มข้อมูลส่วนบุคคลของผู้ป่วยได้ง่าย เพียงแค่สร้างความขัดแย้งกับแพทย์และโน้มน้าวพนักงานพยาบาลเปิดประตู ห้องบันทึกข้อมูล การเจาะระบบนี้ชี้ให้เห็นถึงช่องโหว่ด้านมนุษย์ที่อาจเป็นจุดอ่อนสำคัญของระบบสุขภาพ

Overview

เหตุการณ์เกิดขึ้นเมื่อ Dahvid Schloss ทีม Red Team ที่เชี่ยวชาญการทดสอบทั้งความปลอดภัยทางเครือข่ายและกายภาพ เขาได้รับมอบหมายให้เข้าสู่ห้องบันทึกข้อมูลของโรงพยาบาลหนึ่งเพื่อคัดลอกเอกสารเฉพาะที่ลูกค้ากำหนด การเข้าถึงต้องผ่าน electronic lock และผู้ดูแลประตูเป็นพยาบาลซึ่งทำหน้าที่เป็น “gatekeeper”

Schloss พิจารณาวิธีหลายวิธีก่อนตัดสินใจใช้เทคนิคทางสังคม เขาได้ทำการสำรวจข้อมูลพื้นฐานของโรงพยาบาลและเตรียมชุดเครื่องแบบพนักงานสุขภาพพร้อมบัตรประจำตัวปลอมที่ไม่สามารถสแกนได้ จากนั้นเขากล่าวถึงปัญหาเกี่ยวกับแพทย์คนหนึ่งเพื่อสร้างความสัมพันธ์กับพยาบาล

การทดลองนี้ทำให้เห็นว่าการควบคุมทางกายภาพเพียงอย่างเดียวไม่ได้รับประกันความปลอดภัย หากผู้เข้าถึงสามารถใช้ทักษะมนุษย์ได้สำเร็จ ระบบก็อาจถูกละเมิดได้ง่าย

Social Engineering Tactics

Schloss ได้ระบุวิธีการที่พิจารณาไว้หลายแบบก่อนเลือกใช้การพูดคุยเชิงลบกับแพทย์

• ลอง pick lock ของประตู
• ทำ badge cloning เพื่อเลียนแบบบัตรเข้าห้อง
• ขโมยบัตรของผู้มีสิทธิ์จริง

แต่สุดท้ายเขาตัดสินใจใช้การพูดจาเพื่อสร้างความเชื่อมโยงกับพยาบาลโดยการวิพากษ์วิจารณ์ Dr. Johnson ว่าเป็น “asshole” เพื่อให้พยาบาลเห็นว่าเขาอยู่ในสถานการณ์เดียวกัน การกระทำนี้ทำให้พยาบาลเปิดประตูให้โดยไม่ตรวจสอบบัตรที่ไม่มีการสแกน

เทคนิคดังกล่าวอ้างอิงจากคำพูดของ Schloss: “Nurses talk a lot of shit. It's the law of the land when it comes to the hospital” และ “I'm doing fine, hon… Dr Johnson's being an absolute asshole right now.” การใช้ภาษาที่เป็นกันเองและสร้างความเห็นร่วมกับพยาบาลทำให้การป้องกันด้านมนุษย์ล้มเหลว

Physical & Network Security Gaps

นอกจากการละเมิดด้วยวิธีสังคมแล้ว Schloss ยังเปิดเผยช่องโหว่ในระดับเครือข่ายของโรงพยาบาลหลายแห่ง ตัวอย่างหนึ่งคืออุปกรณ์ทางการแพทย์ทั้งหมดถูกเชื่อมต่ออยู่บน VLAN 1 ซึ่งเป็นเดียวกับเครือข่าย Wi‑Fi สำหรับผู้เข้าชม

• เครื่อง MRI, CT scan และอุปกรณ์ตรวจวัดอื่น ๆ ส่งข้อมูลโดยไม่มีการ encrypt
• ข้อมูลส่วนบุคคล (PII) เช่น หมายเลขประกันสังคม วันเดือนปีเกิดของผู้ป่วย ปรากฏบนแพ็กเกจข้อมูลที่ส่งผ่านเครือข่าย

Schloss กล่าวว่า “most medical devices at most hospitals … do not encrypt data that they send over the network.” ความจริงนี้ทำให้ผู้ไม่ประสงค์ดีสามารถดักจับและรวบรวมข้อมูลส่วนบุคคลได้โดยง่าย แม้ในสถานการณ์ฉุกเฉินที่ระบบต้องการความเร็ว การแลกเปลี่ยนข้อมูลแบบเปิดอาจสร้างความเสี่ยงต่อการละเมิดข้อมูลอย่างมหาศาล

Implications for Healthcare Data Protection

เหตุการณ์เหล่านี้บ่งชี้ว่าการให้ความสำคัญกับ “การทำงานของเครื่องมือ” มากเกินไปอาจมองข้าม security hygiene ที่จำเป็น โรงพยาบาลหลายแห่งเลือกที่จะเปิดช่องทางข้อมูลเพื่อให้แพทย์และเจ้าหน้าที่สามารถเข้าถึงได้เร็วที่สุด แม้จะหมายถึงการละเลยมาตรฐานความปลอดภัยพื้นฐาน

ผลกระทบที่อาจเกิดขึ้นรวมถึง:

• การสูญเสียหรือขโมย PII ของผู้ป่วยซึ่งอาจนำไปสู่การฟ้องร้องและค่าปรับตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล
• ความเสี่ยงต่อการรบกวนหรือทำให้เครื่องมือทางการแพทย์ทำงานผิดพลาด หากผู้โจมตีสามารถแทรกซึมโค้ดลงในเครือข่ายได้

แม้ว่าโรงพยาบาลอาจเน้น “ชีวิตและความตาย” เป็นเป้าหมายหลัก การละเลยการตรวจสอบบุคลากรที่เข้าถึงพื้นที่สำคัญก็อาจทำให้เกิดเหตุการณ์ที่เสี่ยงต่อความปลอดภัยของข้อมูลผู้ป่วยได้เช่นกัน

Recommendations

เพื่อเพิ่มระดับความปลอดภัยโดยรวม ควรพิจารณามาตรการดังต่อไปนี้

• ปรับปรุงกระบวนการ identity verification สำหรับบุคลากรที่เข้าถึงห้องสำคัญ โดยใช้ระบบหลายปัจจัย (MFA) แทนการพึ่งพาบัตรเดียว
• แยกเครือข่ายอุปกรณ์ทางการแพทย์ออกจาก Wi‑Fi สาธารณะโดยใช้ segmentation ที่ชัดเจนและไม่ให้ VLAN 1 ใช้ร่วมกับผู้เข้าชม
• บังคับใช้การ encryption สำหรับข้อมูลที่ส่งผ่านทุกอุปกรณ์ แม้กระทั่งบนเครือข่ายภายในโรงพยาบาล
• จัดฝึกอบรมด้านความปลอดภัยเชิงพฤติกรรมให้กับพนักงาน ทั้งพยาบาลและเจ้าหน้าที่ เพื่อให้ตระหนักถึงการใช้เทคนิค social engineering และวิธีตอบสนองที่เหมาะสม

การดำเนินการเหล่านี้จะช่วยลดช่องโหว่ทั้งในระดับกายภาพและเครือข่าย ทำให้ข้อมูลผู้ป่วยได้รับการคุ้มครองมากขึ้น

Summary

เหตุการณ์ที่ Red Teamer ใช้การวิพากษ์แพทย์เพื่อเปิดประตูห้องบันทึกข้อมูลเผยให้เห็นช่องโหว่ด้านมนุษย์และเทคนิคของระบบสุขภาพ การละเลยมาตรฐานความปลอดภัยทางเครือข่ายทำให้ข้อมูลผู้ป่วยเสี่ยงต่อการถูกขโมย โรงพยาบาลควรเร่งปรับปรุงกระบวนการตรวจสอบตัวตน แยกเครือข่าย และฝึกอบรมบุคลากรเพื่อเพิ่มความปลอดภัยโดยรวม.