Ảnh minh họa. Nguồn ClaimDEPO

Phát hiện sự cố và phản ứng của tổ chức sau vụ tấn công

Theo thông tin từ Bộ Y tế và Dịch vụ Nhân sinh Mỹ (HHS), vụ xâm nhập xảy ra trong khoảng thời gian từ ngày 5 đến 11/11/2024. Tin tặc đã truy cập máy chủ nội bộ của Doctors Imaging Group và sao chép nhiều tệp dữ liệu nhạy cảm, bao gồm tên, ngày sinh, số An Sinh Xã Hội (SSN), thông tin bảo hiểm y tế, hồ sơ điều trị và các dữ liệu tài chính của bệnh nhân.

Tuy phát hiện sự cố từ cuối năm 2024, nhưng phải đến ngày 29/8/2025, tổ chức y tế này mới hoàn tất điều tra và đến tháng 9/2025 mới bắt đầu gửi thông báo đến những người bị ảnh hưởng. Khoảng thời gian gần 10 tháng này được xem là quá dài, làm tăng nguy cơ thông tin bị khai thác để lừa đảo trước khi nạn nhân kịp biết để tự bảo vệ.

Doctors Imaging Group cho biết đã cô lập hệ thống bị tấn công, phối hợp chuyên gia an ninh mạng để xác định điểm yếu, đồng thời nâng cấp cơ sở hạ tầng và quy trình bảo mật. Tuy nhiên, vụ việc cho thấy rõ sự chậm trễ trong phản ứng và hạn chế trong việc bảo vệ quyền lợi bệnh nhân khi xảy ra sự cố dữ liệu.

Hậu quả dáng lo ngại với bệnh nhân và uy tín của ngành y tế

Việc dữ liệu y tế (Protected Health Information - PHI) và dữ liệu cá nhân định danh (Personally Identifiable Information - PII) bị lộ là một trong những loại vi phạm nghiêm trọng nhất trong ngành y tế, bởi thông tin này có giá trị lâu dài trên thị trường ngầm và không thể “thay đổi” như mật khẩu hay thẻ tín dụng.

Khi rơi vào tay tội phạm mạng, dữ liệu y tế và tài chính của bệnh nhân có thể bị dùng để giả mạo danh tính, khai thác bảo hiểm gian lận, chiếm đoạt tài sản, hoặc tống tiền dựa trên thông tin sức khỏe nhạy cảm.

Đối với tổ chức y tế như Doctors Imaging Group, hậu quả không chỉ là thiệt hại tài chính mà còn bao gồm mất uy tín với bệnh nhân, kiện tụng tập thể (class action), và áp lực từ cơ quan quản lý dữ liệu y tế (HHS, OCR). Ngoài ra, độ trễ trong việc thông báo cũng có thể dẫn đến xử phạt theo quy định về bảo vệ quyền riêng tư trong đạo luật HIPAA.

Trên phạm vi rộng hơn, sự cố này cho thấy ngành y tế đang trở thành mục tiêu hấp dẫn trong các chiến dịch tấn công mạng toàn cầu. Các cơ sở khám chữa bệnh, phòng xét nghiệm hay trung tâm chẩn đoán hình ảnh thường sử dụng hệ thống kết nối thiết bị y tế (PACS, RIS) vốn chứa nhiều lỗ hổng bảo mật. Nếu không được mã hóa và vá lỗi thường xuyên, các thiết bị này có thể bị lợi dụng làm “cửa sau” cho tin tặc di chuyển ngang trong mạng bệnh viện - hiện tượng được gọi là “medical device hijack” hay MedJack.

Bệnh nhân cần làm gì để tự bảo vệ

Các chuyên gia khuyến nghị bệnh nhân nên chủ động bảo vệ dữ liệu của mình trong thời gian cuộc điều tra còn tiếp diễn. Một số biện pháp được khuyến cáo bao gồm: theo dõi báo cáo tín dụng định kỳ để phát hiện hành vi bất thường; cảnh giác với email, cuộc gọi hoặc tin nhắn lừa đảo giả danh cơ sở y tế; thay đổi mật khẩu của các tài khoản liên quan đến bảo hiểm, ngân hàng hoặc dịch vụ thanh toán.

Ngoài ra, bệnh nhân nên đăng ký dịch vụ giám sát danh tính (identity monitoring), lưu giữ các thông báo chính thức từ Doctors Imaging Group làm bằng chứng, và liên hệ với cơ quan thực thi pháp luật hoặc Ủy ban Thương mại Liên bang Hoa Kỳ (FTC) nếu phát hiện hành vi sử dụng thông tin trái phép.

Các chuyên gia an ninh mạng nhấn mạnh rằng bảo vệ dữ liệu bệnh nhân không chỉ là nghĩa vụ tuân thủ pháp lý mà còn là yếu tố sống còn để duy trì niềm tin trong lĩnh vực chăm sóc sức khỏe hiện đại. Sự cố tại Doctors Imaging Group là lời cảnh tỉnh mạnh mẽ đối với mọi tổ chức y tế dù lớn hay nhỏ, cần xác định bảo mật dữ liệu là nhiệm vụ quan trọng hàng đầu, thay vì phản ứng sau khủng hoảng.

An Lâm (Theo eSecurityPlanet)