การรั่วไหลข้อมูลผู้ป่วยของ Unlimited Technology Systems ส่งผลต่อ 3.8 ล้านคน

การรั่วไหลของข้อมูลจากผู้ให้บริการซอฟต์แวร์ด้านสุขภาพของสหรัฐอเมริกา Unlimited Technology Systems (UTS) เปิดเผยว่าผู้ไม่ประสงค์ดีอาจขโมยข้อมูลส่วนบุคคลของคนกว่า 3.8 ล้าน ราย ซึ่งทำให้เหตุการณ์นี้เป็นการละเมิดข้อมูลทางการแพทย์ที่ใหญ่ที่สุดในปี 2569 ตามบันทึกของกระทรวงสาธารณสุขและบริการมนุษย์ (HHS)

Overview

UTS เป็นบริษัทซอฟต์แวร์ด้านการดูแลสุขภาพที่ตั้งอยู่ในรัฐโอไฮโอ ซึ่งให้บริการระบบข้อมูลผู้ป่วยแก่คลินิกและโรงพยาบาลหลายแห่ง การตรวจพบกิจกรรมไม่ปกติในศูนย์ข้อมูลเชิงพาณิชย์ของบริษัทเกิดขึ้นระหว่าง 5‑10 ตุลาคม 2568 และทำให้ต้องเปิดเผยการละเมิดข้อมูลต่อสาธารณะเมื่อเดือนกรกฎาคมที่ผ่านมา

จากข้อมูลที่ได้มาจาก HHS, การรั่วไหลส่งผลกระทบต่อ 3,803,750 คน ซึ่งเป็นจำนวนสูงสุดของเหตุการณ์ด้านสุขภาพที่รายงานต่อหน่วยงานนี้ในปี 2569 ก่อนหน้านี้เหตุการณ์ใหญ่ที่สุดคือการโจมตีของ TriZetto Provider Solutions ที่มีผู้ได้รับผลกระทบประมาณ 3.4 ล้านคน

Timeline

การตรวจพบแรกเริ่มเกิดขึ้นเมื่อทีมเทคนิคของ UTS สังเกตเห็นสัญญาณการเข้าถึงข้อมูลที่ไม่ได้รับอนุญาตในศูนย์ข้อมูลขนาดใหญ่ของบริษัท ภายในไม่กี่วันต่อมาบริษัทได้เรียกใช้ผู้เชี่ยวชาญด้านฟอเรนซิกเพื่อทำการวิเคราะห์และยืนยันว่ามีการคัดลอกไฟล์สำคัญบางส่วน

หลังจากนั้น UTS แจ้งให้หน่วยงานบังคับใช้กฎหมายทราบ รวมถึงสำนักอัยการรัฐไอโอวา พร้อมส่งจดหมายแจ้งเหตุการณ์ต่อผู้ที่อาจได้รับผลกระทบ การตรวจสอบขั้นต้นยังไม่ได้เปิดเผยว่าแฮคเกอร์เข้าสู่ระบบอย่างไรหรือเป็นใคร

Data Exposed

ข้อมูลที่อาจถูกขโมยจากระบบของ UTS มีความหลากหลายและครอบคลุมทั้งข้อมูลส่วนบุคคลและข้อมูลทางการแพทย์ รายละเอียดหลัก ๆ ได้แก่

• ชื่อ, หมายเลขประกันสังคม, วันเดือนปีเกิด, ที่อยู่บ้านและอีเมล
• เบอร์โทรศัพท์และข้อมูลประชากรอื่น ๆ
• เลขกรมธรรม์ประกันสุขภาพ, ข้อมูลการเรียกร้องค่าชดเชย, รายละเอียดสิทธิประโยชน์
• ยอดค้างชำระของผู้ป่วย, หมายเลขบันทึกทางการแพทย์ (MRN), วันที่ให้บริการและการวินิจฉัยโรค

โดยบริษัทยืนยันว่าไฟล์ที่ถูกขโมยไม่ได้รวมถึง บันทึกการรักษาเต็มรูปแบบ, ภาพถ่ายรังสี, หมายเลขบัตรเครดิต หรือข้อมูลบัญชีธนาคาร อย่างไรก็ตาม เอกสารบางส่วนอาจมีสแกนของบัตรประชาชน, ใบขับขี่, บัตรประกันสุขภาพและแบบฟอร์มรับผู้ป่วย

Response & Mitigation

เมื่อยืนยันการรั่วไหล UTS ได้ดำเนินมาตรการหลายด้านทันที รวมถึงการจ้างบริษัทความปลอดภัยไซเบอร์เพื่อทำการสืบสวนเชิงลึก การแจ้งตำรวจและหน่วยงานรัฐที่เกี่ยวข้อง และเริ่มตรวจสอบไฟล์ใดบ้างที่ถูกแฮคเกอร์เข้าถึง

แม้ว่า UTS ยังไม่เปิดเผยตัวตนของผู้โจมตีหรือวิธีการเจาะระบบเข้าไปในศูนย์ข้อมูล แต่บริษัทระบุว่าขณะนี้ยังไม่ได้รับรายงานการใช้ข้อมูลที่ถูกขโมยอย่างผิดกฎหมายใด ๆ และกำลังเฝ้าติดตามสถานการณ์ต่อไป

สำหรับผู้ที่อาจได้รับผลกระทบ UTS จัดให้บริการ 24 เดือน ของระบบตรวจสอบเครดิตและคุ้มครองตัวตนเพื่อป้องกันการใช้ข้อมูลส่วนบุคคลในทางที่ผิด

Industry Impact

เหตุการณ์นี้เป็นสัญญาณเตือนให้ภาคสุขภาพทั่วโลกต้องเร่งปรับปรุงมาตรฐานความปลอดภัยของระบบสารสนเทศ เนื่องจากข้อมูลด้านสุขภาพและประกันมีมูลค่าทางการเงินสูงกว่าข้อมูลบัตรเครดิตทั่วไป การโจมตีแบบ “ครั้งเดียวทำลายหลายแหล่ง” แสดงให้เห็นว่าแฮคเกอร์สามารถเข้าถึงฐานข้อมูลขนาดใหญ่ได้โดยไม่ต้องเจาะผ่านแต่ละโรงพยาบาล

นอกจากนี้ การที่ UTS กลายเป็นกรณีการรั่วไหลที่ใหญ่ที่สุดของปี 2569 ทำให้ผู้กำกับดูแลในสหรัฐอเมริกาอาจเร่งดำเนินมาตรการตรวจสอบและบังคับใช้กฎเกณฑ์ HIPAA อย่างเข้มงวดยิ่งขึ้น ทั้งนี้ การเปิดเผยข้อมูลอย่างโปร่งใสและการสนับสนุนผู้เสียหายด้วยบริการป้องกันตัวตนเป็นแนวทางที่อาจเป็นแบบอย่างให้กับองค์กรสุขภาพอื่น ๆ

Summary

เหตุการณ์รั่วไหลของ Unlimited Technology Systems (UTS) ส่งผลกระทบต่อข้อมูลส่วนบุคคลและการแพทย์ของคนกว่า 3.8 ล้าน** ราย ทำให้เป็นกรณีการละเมิดข้อมูลด้านสุขภาพที่ใหญ่ที่สุดในปี 2569 บริษัทตอบสนองด้วยการสืบสวนเชิงลึกและจัดบริการคุ้มครองตัวตน 24 เดือนแก่ผู้เสียหาย ขณะเดียวกันเหตุการณ์นี้เน้นย้ำความจำเป็นของมาตรการรักษาความปลอดภัยไซเบอร์ที่เข้มแข็งในอุตสาหกรรมสุขภาพ.