เหตุข้อมูลรั่วไหล HCA Healthcare มีหลักฐานยืนยันทั้งจดหมายแจ้งเหตุและทะเบียนของทางการสหรัฐฯ โดย Texas Attorney General ระบุผู้ได้รับผลกระทบในรัฐเท็กซัส 15,096 คน ณ รายการเผยแพร่วันที่ 30 ตุลาคม 2569 ตัวเลขนี้เป็นของเท็กซัสเท่านั้น ไม่ใช่ยอดรวมทั่วโลกหรือจำนวนผู้ถูกสวมรอยแล้ว
ข้อเท็จจริงที่ยืนยันได้
จดหมาย HCA ลงวันที่ 2 พฤศจิกายน 2569 ซึ่งเผยแพร่ผ่าน California Attorney General ระบุว่าพบกิจกรรมน่าสงสัยเมื่อ 12 สิงหาคม และผลสอบสวนพบผู้ไม่ได้รับอนุญาตเข้าถึงระบบพร้อมคัดลอกไฟล์ข้อมูลของผู้ป่วยและแพทย์ประจำบ้าน บริษัทได้รักษาความปลอดภัยระบบ ใช้ผู้เชี่ยวชาญภายนอกช่วยสอบสวน และแจ้งหน่วยงานบังคับใช้กฎหมาย
ข้อมูลของแพทย์ประจำบ้านเกี่ยวข้องกับงานบุคคล เช่น ชื่อ เลข Social Security วันเกิด ข้อมูลติดต่อ และข้อมูลตรวจคนเข้าเมืองในบางกรณี ส่วนข้อมูลของผู้ป่วยแตกต่างกันตามแต่ละคน ทะเบียนเท็กซัสระบุประเภทข้อมูลเป็น Social Security ข้อมูลทางการแพทย์ และประกันสุขภาพ จึงไม่ควรเหมารวมว่าทุกคนมีข้อมูลทุกประเภทถูกนำออก
HCA ระบุในจดหมายว่ายังไม่มีข้อบ่งชี้ว่าข้อมูลถูกเผยแพร่ต่อหรือใช้ทำธุรกรรมโดยไม่ได้รับอนุญาตหรือสวมรอยตัวตน ข้อความนี้ไม่ได้ลบล้างการคัดลอกไฟล์ที่บริษัทตรวจพบ และยังไม่ใช่หลักประกันว่าจะไม่มีการนำข้อมูลไปใช้ภายหลัง
ผู้ที่ได้รับหนังสือแจ้งควรทำอะไร
- ตรวจความแท้ของหนังสือผ่านช่องทางทางการ และอ่านว่าข้อมูลของตนมีประเภทใดเกี่ยวข้อง
- ตรวจรายการบัญชี รายงานเครดิต และรายการเบิกประกันที่ไม่รู้จัก อย่าให้รหัสผ่านหรือ OTP แก่ผู้ที่ติดต่อมาอ้างช่วยแก้เหตุ
- HCA เสนอบริการคุ้มครองตัวตนผ่าน IDX ฟรี 2 ปี กำหนดลงทะเบียนภายใน 2 กุมภาพันธ์ 2570 โดยใช้รหัสเฉพาะในหนังสือ ผู้ที่มีข้อมูลเครดิตสหรัฐฯ ควรพิจารณา fraud alert หรือ credit freeze ตามคำแนะนำที่แนบมา
มุมมอง ALPHASEC ต่อองค์กรไทย
เหตุนี้เป็นบทเรียนเรื่องการปกป้องข้อมูลทั้งผู้รับบริการและบุคลากร องค์กรควรแยกชุดข้อมูลและสิทธิ์เข้าถึง กำหนดอายุการเก็บ ติดตามการดาวน์โหลดผิดปกติ และเตรียมการแจ้งเหตุที่บอกขอบเขตแต่ละกลุ่มได้ชัดเจน รอบตรวจนี้ยังไม่มีหลักฐานยืนยันผู้ได้รับผลกระทบในประเทศไทย และไม่ใช้จำนวนผู้ป่วยทั้งหมดของเครือ HCA แทนจำนวนในเหตุนี้