CareCloud ถูกแฮ็ก ข้อมูลผู้ป่วยกว่า 3.75 ล้านคนรั่วไหล เกิดอะไรขึ้นบ้าง

เกิดอะไรขึ้นกับ CareCloud

CareCloud ผู้ให้บริการเทคโนโลยีด้านสุขภาพจากรัฐนิวเจอร์ซีย์ของสหรัฐฯ ยืนยันว่าแฮ็กเกอร์ขโมยข้อมูลส่วนบุคคลและเวชระเบียนของผู้คนจำนวน 3,756,469 ราย เหตุการณ์นี้จึงกลายเป็นการโจมตีข้อมูลสุขภาพครั้งใหญ่อันดับ 5 ที่มีการรายงานในสหรัฐฯ ในปี 2026 ณ เวลาที่มีการเปิดเผยข้อมูล 2

ตัวเลขดังกล่าวสูงกว่าจำนวนประมาณ 345,000 คนที่บริษัทเคยแจ้งในเบื้องต้นมากกว่า 10 เท่า โดยยอดผู้ได้รับผลกระทบที่แท้จริงปรากฏขึ้นหลัง CareCloud รายงานข้อมูลต่อกระทรวงสาธารณสุขและบริการมนุษย์สหรัฐฯ (HHS) ในเดือนสิงหาคม และตัวเลขอาจมีการเปลี่ยนแปลงได้อีก 2

แฮ็กเกอร์เข้าถึงระบบอย่างไร

CareCloud ระบุว่า ผู้โจมตีเข้าถึงหนึ่งในสภาพแวดล้อมจัดเก็บข้อมูลบนคลาวด์ของบริษัทเป็นเวลา 6 วันในเดือนมีนาคม 2026 ก่อนนำข้อมูลออกจากบัญชี Amazon Web Services หรือ AWS ของบริษัท ซึ่งเป็นผู้ให้บริการโครงสร้างพื้นฐานคลาวด์รายใหญ่ของสหรัฐฯ 2

ก่อนหน้านั้น CareCloud เคยเปิดเผยว่าพบเหตุขัดข้องในเครือข่ายเมื่อเดือนมีนาคม แต่ในเวลานั้นยังไม่ได้ระบุขอบเขตความเสียหายหรือจำนวนผู้ได้รับผลกระทบทั้งหมด การแจ้งข้อมูลต่อ HHS ในเดือนสิงหาคมทำให้ขนาดของเหตุการณ์เป็นที่รับรู้ต่อสาธารณะอย่างชัดเจนมากขึ้น 2

ข้อมูลประเภทใดถูกขโมย

ข้อมูลที่อยู่ในเหตุการณ์ประกอบด้วยข้อมูลหลายประเภทที่อาจนำไปใช้ในการสวมรอยตัวตนหรือฉ้อโกงทางการเงินได้ ได้แก่

• ชื่อและที่อยู่ทางไปรษณีย์
• หมายเลขประกันสังคมของสหรัฐฯ
• ข้อมูลทางการแพทย์และสุขภาพ รวมถึงเวชระเบียน
• ข้อมูลเอกสารราชการ เช่น เลขหนังสือเดินทางและเลขใบขับขี่
• ข้อมูลธนาคารและข้อมูลทางการเงินอื่น ๆ สำหรับผู้ได้รับผลกระทบบางราย 2

ขอบเขตข้อมูลที่ถูกขโมยอาจแตกต่างกันไปในแต่ละบุคคล จึงยังไม่ควรสรุปว่าผู้ได้รับผลกระทบทั้ง 3,756,469 รายถูกเปิดเผยข้อมูลทุกประเภทเหมือนกัน

CareCloud เป็นบริษัทแบบใด และทำไมจึงมีข้อมูลจำนวนมาก

CareCloud ให้บริการระบบเวชระเบียนอิเล็กทรอนิกส์ รวมถึงระบบจัดการคลินิกและข้อมูลด้านการเรียกเก็บเงินแก่โรงพยาบาล สำนักงานแพทย์ และสถานพยาบาลอื่น ๆ ในสหรัฐฯ

ในฐานะผู้ให้บริการเทคโนโลยีและผู้ประมวลผลข้อมูล CareCloud จึงจัดเก็บหรือดูแลข้อมูลของผู้ป่วยจากสถานพยาบาลหลายแห่ง ทำให้การโจมตีระบบของบริษัทเดียวอาจส่งผลกระทบต่อผู้คนจำนวนมาก แม้ผู้ป่วยเหล่านั้นจะไม่ได้ใช้บริการของ CareCloud โดยตรง

บริษัทแจ้งหน่วยงานใด

CareCloud ยื่นรายงานเหตุข้อมูลรั่วไหลต่อ สำนักงานสิทธิพลเมือง (Office for Civil Rights) ของ HHS ซึ่งดูแลพอร์ทัลสาธารณะสำหรับรายการเหตุข้อมูลสุขภาพที่ได้รับการคุ้มครองรั่วไหลและมีผู้ได้รับผลกระทบตั้งแต่ 500 รายขึ้นไป โดยรายการดังกล่าวเป็นเหตุการณ์ที่อยู่ระหว่างการตรวจสอบ 1

การยื่นรายงานในเดือนสิงหาคมเป็นหลักฐานทางการที่ทำให้ยอดผู้ได้รับผลกระทบมากกว่า 3.75 ล้านรายถูกเปิดเผยต่อสาธารณะ 2

คำถามสำคัญที่ยังไม่มีคำตอบ

นับตั้งแต่การเปิดเผยเหตุการณ์ครั้งแรกในเดือนมีนาคม CareCloud ยังไม่ได้ให้รายละเอียดต่อสาธารณะอย่างครบถ้วนเกี่ยวกับการโจมตีครั้งนี้ มีรายงานว่า Stephen Snyder ซีอีโอของบริษัทไม่ได้ตอบคำถามเกี่ยวกับประเด็นสำคัญหลายข้อ เช่น

• บริษัทจ่ายค่าไถ่ให้แฮ็กเกอร์หรือไม่
• ใครเป็นผู้รับผิดชอบด้านความปลอดภัยไซเบอร์
• มีการระบุผู้โจมตีหรือกลุ่มอาชญากรรมไซเบอร์ได้หรือไม่
• Snyder มีแผนจะลาออกหรือไม่ 2

ดังนั้น ณ เวลาที่มีการรายงาน ยังไม่มีหลักฐานยืนยันต่อสาธารณะว่ามีการจ่ายค่าไถ่ กลุ่มแฮ็กเกอร์ใดเป็นผู้ก่อเหตุ ผู้บริหารมีความผิดโดยตรง หรือซีอีโอมีแผนลาออก 2

เมื่อเทียบกับเหตุข้อมูลสุขภาพอื่นในปี 2026

CareCloud มีจำนวนผู้ได้รับผลกระทบมากกว่าเหตุการณ์ของ TriZetto Provider Solutions ซึ่งรายงานไว้ที่ 3,433,965 ราย แต่ยังต่ำกว่ากรณีของ DentaQuest ซึ่งยื่นรายงานต่อ HHS ว่ามีผู้ได้รับผลกระทบ 15 ล้านราย 13

ส่วน Craneware ผู้ให้บริการซอฟต์แวร์ด้านการเรียกเก็บเงินสุขภาพ ก็เป็นหนึ่งในเหตุการณ์สำคัญของภาคสาธารณสุขในปีนี้เช่นกัน แต่ข้อมูลที่มีอยู่ยังไม่ระบุจำนวนผู้ได้รับผลกระทบขั้นสุดท้ายที่สามารถนำมาเปรียบเทียบโดยตรงได้ จึงไม่ควรจัดอันดับ Craneware เทียบกับ CareCloud ในตอนนี้ 3

ภาพรวมดังกล่าวสะท้อนว่าบริษัทเทคโนโลยีที่ทำหน้าที่จัดเก็บหรือประมวลผลข้อมูลสุขภาพกลายเป็นเป้าหมายสำคัญของการโจมตี เพราะระบบเดียวอาจเชื่อมโยงข้อมูลผู้ป่วยจำนวนมหาศาลได้