Các nhà nghiên cứu của Cybernews đã phát hiện ra một vụ rò rỉ dữ liệu lớn, ảnh hưởng đến dữ liệu Y tế của công dân Mỹ. Khoảng 2,7 triệu hồ sơ bệnh nhân và 8,8 triệu hồ sơ cuộc hẹn đã bị công khai.

Vụ rò rỉ là do cơ sở dữ liệu MongoDB không an toàn. Chủ sở hữu dữ liệu vẫn chưa được xác nhận chính thức, nhưng các manh mối ẩn trong cơ sở dữ liệu chỉ ra, đó là Gargle.

Gargle là công ty chuyên cung cấp các dịch vụ tiếp thị, tối ưu hóa công cụ tìm kiếm (SEO) và phát triển web dành riêng cho các phòng khám nha khoa. Mặc dù không phải là nhà cung cấp dịch vụ chăm sóc sức khỏe, nhưng mô hình kinh doanh của Gargle dựa vào việc xử lý cơ sở hạ tầng dành cho bệnh nhân và trong trường hợp này, có thể là dữ liệu bệnh nhân.

Vẫn chưa rõ cơ sở dữ liệu đã bị lộ trong bao lâu hoặc ai có thể đã truy cập vào cơ sở dữ liệu trước khi bị khóa. Sau khi Cybernews thông báo cho công ty về vụ rò rỉ, tập dữ liệu đã được bảo mật. Công ty vẫn chưa nhận được bình luận nào.

Những dữ liệu nào của Gargle đã bị rò rỉ? Đó làTên, Ngày sinh, Email, Địa chỉ, Số điện thoại, Giới tính, Số định danh cá nhân, Chi tiết thanh toán, Hồ sơ cuộc hẹn…

Rò rỉ xảy ra như thế nào?

Cơ sở dữ liệu MongoDB cung cấp năng lượng cho hàng nghìn ứng dụng web hiện đại, từ nền tảng thương mại điện tử đến cổng thông tin chăm sóc sức khỏe. Trong trường hợp này, rò rỉ có thể bắt nguồn từ một lỗ hổng phổ biến và thường bị bỏ qua, trong đó cơ sở dữ liệu bị lộ mà không có xác thực phù hợp do lỗi của con người.

Như nghiên cứu của Cybernews đã chỉ ra, đây là điểm mù thường xuyên xảy ra với các công ty ở mọi quy mô và trong nhiều ngành khác nhau.

Trên trang web của mình, Gargle nêu bật vai trò của mình trong việc thiết kế các trang web được tối ưu hóa cho SEO, giúp tăng tỷ lệ chuyển đổi của người dùng bằng cách khuyến khích họ đặt lịch hẹn.

Công ty cũng cung cấp tích hợp để lên lịch theo thời gian thực, giao tiếp với bệnh nhân, xử lý thanh toán và gửi biểu mẫu trực tuyến. Tất cả các dịch vụ đều là điểm tiếp xúc quan trọng, nếu không được cấu hình an toàn, có thể trở thành điểm vào cho kẻ tấn công.

Có khả năng dữ liệu y tế bị lộ là do rò rỉ từ cơ sở hạ tầng nội bộ liên kết với các dịch vụ của bên thứ ba này.

Dữ liệu y tế bị rò rỉ có thể bị khai thác như thế nào?

Bộ dữ liệu bị rò rỉ chứa thông tin cực kỳ nhạy cảm thuộc về bệnh nhân tại Hoa Kỳ gồm số điện thoại di động đã xác minh, địa chỉ nhà, phân loại thanh toán và ID của tổ chức. Khi tách riêng, bất kỳ điểm dữ liệu nào trong số này có vẻ không gây hại. Nhưng khi kết hợp lại với nhau, chúng tạo thành bản thiết kế toàn diện về danh tính của một người.

Loại dữ liệu này mở ra cánh cửa cho nhiều loại lạm dụng. Trộm cắp danh tính là mục tiêu dễ dàng, với những kẻ tấn công có thể mạo danh nạn nhân để kiếm lợi nhuận.

Khi dữ liệu y tế được đưa ra, rủi ro sẽ trở nên nghiêm trọng hơn nhiều. Những kẻ đe dọa có thể sử dụng thông tin này để thực hiện hành vi gian lận bảo hiểm hoặc trộm cắp danh tính y tế. Nạn nhân cũng dễ bị tấn công lừa đảo và tấn công kỹ thuật xã hội được thiết kế khéo léo.

Vụ rò rỉ ở quy mô này đặt ra những câu hỏi nghiêm trọng về việc không tuân thủ Đạo luật về khả năng chuyển nhượng và trách nhiệm giải trình bảo hiểm y tế (HIPAA). Theo các quy định, các công ty xử lý dữ liệu bệnh nhân có nghĩa vụ pháp lý phải khóa dữ liệu bằng các biện pháp bảo vệ nghiêm ngặt.

Công ty nên thông báo cho những cá nhân bị ảnh hưởng và công khai sự cố theo đúng HIPAA.

Nếu người dùng có cuộc hẹn khám răng và nghi ngờ dữ liệu của mình có thể bị ảnh hưởng do rò rỉ, hãy cảnh giác với các cuộc tấn công lừa đảo. Đặc biệt thận trọng với bất kỳ email không mong muốn nào có liên quan đến nhà cung cấp dịch vụ chăm sóc sức khỏe hoặc tiền sử bệnh án.

Người dùng được khuyên là phải theo dõi chặt chẽ hồ sơ y tế và bảo hiểm của mình để phát hiện các dấu hiệu khiếu nại hoặc hoạt động trái phép. Hãy cân nhắc đăng ký dịch vụ giám sát hành vi trộm cắp danh tính.