อนุทินยอมรับฐานข้อมูลคนไข้ถูกเจาะ สั่งยกระดับการป้องกันระบบคอมพิวเตอร์ สธ.

 

นายอนุทิน ชาญวีรกูล รองนายกรัฐมนตรีและรัฐมนตรีว่าการกระทรวงสาธารณสุข (รมว. สธ.) สั่งให้เจ้าหน้าที่สารสนเทศเร่งแก้ไขปัญหาข้อมูลคนไข้หลุด และยกระดับความปลอดภัยทางไซเบอร์อย่างเต็มที่ หลังจากมีการโพสต์ข้อมูลผู้ป่วยที่ลักลอบนำมาจากฐานข้อมูลของโรงพยาบาลเพื่อนำมาขายในเว็บไซต์

ช่วงเช้าวันนี้ (7 ก.ย.) นายอนุทินกล่าวถึงกรณีที่ข้อมูลคนไข้ของ สธ. หลุดออกสู่สาธารณะว่า ได้ตรวจสอบข้อมูลเบื้องต้นแล้ว พบว่าเหตุเกิดที่โรงพยาบาลใน จ.เพชรบูรณ์

รมว. สธ. ยังได้สั่งการให้ศูนย์เทคโนโลยีสารสนเทศตรวจสอบรายละเอียดของเหตุการณ์ครั้งนี้ ซึ่งเบื้องต้นทราบว่าข้อมูลที่หลุดออกไปเป็นข้อมูลทั่วไปของคนไข้ ไม่ใช่ข้อมูลที่เป็นความลับจึงไม่ควรตื่นตระหนกจนเกินไป

ขณะที่ นพ. ธงชัย กีรติหัตถยากร รองปลัด สธ. ระบุในระหว่างการแถลงข่าวในวันนี้ว่า ได้มีการตั้งคณะกรรมการตรวจสอบข้อเท็จจริงและประเมินความเสียหายจากข้อมูลดังกล่าวตั้งแต่วันที่ 5 ส.ค. ที่ผ่านมา เบื้องต้นพบว่าข้อมูลที่มีการประกาศขายผ่านสื่อออนไลน์นั้นไม่ใช่ส่วนที่อยู่ในฐานข้อมูลหลักในการให้บริการผู้ป่วยปกติของ รพ. แต่เป็นข้อมูลแยกที่ใช้ในการปฎิบัติงานของเจ้าหน้าที่ ซึ่งไม่เกี่ยวข้องกับการวินิจฉัยโรค การรักษา หรือผลทางคลินิกใด ๆ ทำให้ รพ. ยังคงดำเนินการได้ตามปกติ

ขณะนี้ สธ. ได้ตรวจสอบระบบทั้งหมดและทำการสำรองข้อมูลเพื่อความปลอดภัยแล้ว นพ. ธงชัยระบุ

 

พบฐานข้อมูลที่ถูกแฮกเพียง 1 หมื่นราย

รองปลัด สธ. กล่าวเพิ่มเติมว่าข้อมูลที่ถูกแฮก ประกอบด้วยแฟ้มของแพทย์ในการตรวจผู้ป่วย ซึ่งมีฐานข้อมูล 10,095 ราย โดยประมาณ ซึ่งไม่มีรายละเอียดการรักษา เป็นเพียงชื่อ นามสกุล หมายเลขโทรศัพท์ และรายละเอียดการเข้าออก รพ.

“ยืนยันว่าฐานข้อมูลทั้งหมด (ที่ถูกแฮก) ไม่ได้อยู่ในฐานข้อมูลของการรักษาพยาบาลทั่ว ๆ ไปของ รพ. เป็นฐานข้อมูลที่ รพ.ได้สร้างเว็บเพจขึ้นมาอีกอัน แต่แปะอยู่ในเซิร์ฟเวอร์เดียวกันกับของ รพ.” นพ. ธงชัยกล่าว

 

 

นพ. อนันต์ กนกศิลป์ ผู้อำนวยการศูนย์เทคโนโลยีสารสนเทศและการสื่อสาร ระบุว่า ข้อมูลที่ใช้ในการประสานงานใน รพ. ของเจ้าหน้าที่ที่ถูกโจมตีนั้น เป็นการพัฒนาโดยใช้โปรแกรมแบบโอเพนซอร์ส (open source) ซึ่งอาจมีจุดอ่อนที่ทำให้ระบบถูกบุกรุกได้เมื่อมีการเชื่อมต่อกับอินเทอร์เน็ต แต่ยืนยันว่าไม่มีการบุกรุกข้ามไปยังเซิร์ฟเวอร์ตัวอื่น ๆ

นพ. อนันต์กล่าวว่าหลังจากนี้ สธ. จะต้องสร้างความตระหนักรู้ให้กับบุคลากรของ รพ. และหน่วยงานด้านสาธารณสุขอื่น ๆ ที่ใช้งานระบบว่าต้องเข้มงวดกับมาตรการด้านความปลอดภัยทางไซเบอร์ที่กำหนดไว้

ต่อมาโรงพยาบาลเพชรบูรณ์ได้ออกแถลงการณ์ฉบับที่ 1 ชี้แจงรายละเอียดเพิ่มเติมเกี่ยวกับเหตุภัยคุกคามทางไซเบอร์ โดยระบุเพิ่มจากที่คณะผู้บริหารสธ. แถลงข่าวไปก่อนหน้าว่า นอกเหนือจากข้อมูลรายชื่อเวชระเบียนผู้ป่วยใน 10,095 ราย เพื่อใช้ในการตรวจสอบระบบเวชระเบียน (ไม่มีรายละเอียดการดูแลรักษา)แล้ว ยังมีข้อมูลเพิ่มเติมอีกดังนี้

• • • ข้อมูลรายชื่อผู้ป่วยนอกที่นัดรับการรักษา 7,000 ราย
    • ข้อมูลตารางเวรแพทย์ มีเลข 13 หลักของแพทย์ผู้รักาา 39 ราย เพื่อใช้ในการเข้าถึงฐานข้อมูล
    • ข้อมูลรายชื่อผู้ป่วยในการคำนวณค่าใช้จ่ายในการผ่าตัด 692 ราย
    • ข้อมูลผู้ป่วยโรงพยาบาลสนาม 795 ราย

 

 

ทั้งนี้คณะกรรมการแก้ไขปัญหาภาวะคุกคามทางไซเบอร์ได้ดำเนินการทางกฎหมายแล้ว

ประเด็นดังกล่าวกลายเป็นที่สนใจในสังคมหลังจากเฟซบุ๊กแฟนเพจที่ใช้ชื่อว่า “น้องปอสาม” ซึ่งเป็นผู้ให้ข้อมูลด้านพลังงานมีผู้ติดตามอยู่ราว 7.3 หมื่นคนออกมาโพสต์ข้อความเพื่อชี้เป้าไปที่เว็บไซต์ Raidforums.com ที่เผยแพร่ข้อมูลที่เจาะมาได้เพื่อขาย โดยข้อมูลดังกล่าวเป็นข้อมูลของผู้ป่วยของ สธ. เช่น ชื่อผู้ป่วย, ที่อยู่, โทรศัพท์, รหัสประจำตัว, หมายเลขโทรศัพท์มือถือ, วันเดือนปีเกิด, ชื่อบิดา, ชื่อโรงพยาบาล, ข้อมูลแพทย์ทั้งหมด, แผนกที่เข้ารับการรักษา, ชื่อโรงพยาบาลและรหัสผ่านทั่วไปของระบบโรงพยาบาล เป็นต้น

 

 

มีรายงานว่า ก่อนหน้านี้เว็บไซต์ดังกล่าวได้เจาะข้อมูลของบริษัทด้านอีคอมเมิร์สรายใหญ่มาแล้ว

โพสต์ดังกล่าวได้รับความสนใจจากผู้ใช้อินเทอร์เน็ตจำนวนมากโดยมีผู้แชร์โพสต์นี้เป็นจำนวนมากกว่า 1.4 หมื่นครั้ง ในจำนวนนั้นยังรวมถึงเพจชื่อดังอย่าง “Drama-Addict”

ต่อมา เว็บไซต์ Raidforums.com ได้นำข้อมูลชุดดังกล่าวออกไปจากระบบแล้ว แต่ก่อนหน้านั้น สื่อหลายสำนักที่ได้เข้าไปตรวจสอบข้อมูลตามลิงก์ที่เพจ “น้องปอสาม” แปะไว้ในโพสต์ดังล่าวพบว่า ผู้ที่ใช้ชื่อว่า Inanimate เป็นผู้โพสต์และประกาศขายข้อมูลที่เจาะได้ด้วยขนาดไฟล์ 3.75 กิกะไบต์ ในราคา 500 ดอลาร์สหรัฐ หรือราว 16,240 บาท

 

ไม่ใช่ครั้งแรกที่ สธ. ถูกแฮกข้อมูล

เหตุการณ์คล้ายกันนี้เคยเกิดขึ้นมาแล้วครั้งหนึ่งเมื่อวันที่ 8 ก.ย. 2563 ที่โรงพยาบาลสระบุรี ซึ่งได้สร้างความโกลาหลให้กับบุคลากรทางการแพทย์ที่โรงพยาบาลสระบุรีไม่น้อย โดยทำให้ระบบคอมพิวเตอร์ของโรงพยาบาลขัดข้อง และบริการคนไข้อย่างล่าช้า เพราะระบบค้นหาประวัติเก่าใช้การไม่ได้ โดยมีรายงานว่าระบบถูกโจมตีโดย Ransomware และถูกเรียกค่าไถ่เป็นจำนวนถึง 200,000 บิตคอยน์ หรือราว 6.3 หมื่นล้านบาท เพื่อแลกเปลี่ยนกับการคืนข้อมูล

 

 

ในเวลาต่อมา นพ.อนันต์ กมลเนตร ผู้อำนวยการโรงพยาบาลสระบุรียอมรับว่าระบบคอมพิวเตอร์ของโรงพยาบาลได้รับกระทบจากแฮกเกอร์ดังกล่าวจริง แต่เรื่องการถูกเรียกค่าไถ่ “ไม่เป็นความจริง”

 

ปี 63 ไทยรั้งอันดับ 3 ที่ถูกเรียกค่าไถ่ข้อมูลมากที่สุดในอาเซียน

เมื่อเดือน พ.ค. ที่ผ่านมา พ.ต.อ.กฤษณะ พัฒนเจริญ รองโฆษกสำนักงานตำรวจแห่งชาติได้เปิดเผยต่อสื่อมวลชนถึงรายงานสถิติการเกิดการเรียกค่าไถ่ข้อมูลจากศูนย์ข้อมูลข่าวสารอาเซียนว่า ระหว่างช่วงเดือน ม.ค.-ก.ย. 2563 เกิดการเรียกค่าไถ่ข้อมูลกว่า 2.7 ล้านครั้ง ใน 10 ประเทศอาเซียน

สำหรับประเทศไทยมีสถิติเรียกค่าไถ่ข้อมูลถึง 192,652 ครั้ง เป็นอันดับที่ 3 รองจากประเทศอินโดนีเซียและประเทศเวียดนาม กลุ่มเป้าหมายเป็นบริษัทเครื่องดื่มและโรงแรมที่พักเป็นส่วนมาก และยังคงเป็นภัยเงียบต่อทุกองค์กร

 

 

ส่วนบทลงโทษผู้กระทำความผิดในลักษณะนี้ อาจเข้าข่ายความผิดฐานข่มขืนใจผู้อื่นให้กระทำการใด ไม่กระทำการใด หรือจำยอมต่อสิ่งใด โดยทำให้กลัวว่าจะเกิดอันตรายต่อชีวิต ร่างกาย เสรีภาพ ชื่อเสียงหรือทรัพย์สินของผู้ถูกข่มขืนใจนั้นเองหรือของผู้อื่น มีโทษจำคุกไม่เกิน 3 ปี หรือปรับไม่เกิน 60,000 บาท หรือทั้งจำทั้งปรับ

นอกจากนี้ยังมีความผิดฐานเข้าถึงโดยมิชอบซึ่งข้อมูลคอมพิวเตอร์ที่มีมาตรการป้องกันการเข้าถึงโดยเฉพาะ และมาตรการนั้นมิได้มีไว้สําหรับตน มีโทษจำคุกไม่เกิน 2 ปี ปรับไม่เกิน 40,000 บาท หรือทั้งจำทั้งปรับ ตาม พ.ร.บ. การกระทำความผิดเกี่ยวกับคอมพิวเตอร์ 2560 หรือกฎหมายอื่นที่เกี่ยวข้องอีกด้วย

 

สอดแนม : โทรศัพท์ติดตั้งสปายแวร์ทำอะไรได้บ้าง

นายสุทธิพงษ์ วสุโสภาพล รองเลขาธิการคณะกรรมการสุขภาพแห่งชาติ กล่าวในระหว่างการแถลงข่าววันนี้ (7 ก.ย.) ว่า หากพิจารณาในประเด็นการคุ้มครองข้อมูลส่วนบุคคลด้านสุขภาพ ตามพระราชบัญญัติสุขภาพแห่งชาติ พ.ศ. 2550 ตามมาตรา 7 ระบุว่า “ข้อมูลสุขภาพส่วนบุคคล เป็นความลับส่วนบุคคล ผู้ใดจะนำไปเปิดเผยในประการที่จะทำให้บุคคลนั้นเสียหายไม่ได้ เว้นแต่การเปิดเผยนั้นเป็นไปตามความประสงค์ของบุคคลนั้นโดยตรง”

นายสุทธิพงษ์ กล่าวว่า กรณีที่เกิดขึ้นมีการระบุโทษไว้ตาม มาตรา 49 ระบุไว้ คือ จำคุกไม่เกิน 6 เดือน หรือปรับไม่เกิน 10,000 บาท หรือทั้งจำทั้งปรับ โดยความผิดตามมาตรา 7 ของพ.ร.บ.สุขภาพฯ นี้สามารถยอมความได้ หากมีการไกล่เกลี่ย

 

แนวทางการรับมือมัลแวร์เรียกค่าไถ่สำหรับหน่วยงานรัฐ

สำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (สพธอ.) หรือ ETDA (เอ็ตด้า) กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม เคยออกประกาศเมื่อเดือนต.ค. 2563 เกี่ยวกับแนวปฏิบัติการป้องกันรับมือมัลแวร์เรียกค่าไถ่สำหรับหน่วยงานรัฐดังนี้

1.จัดทำหรือทบทวนแนวนโยบายและแนวปฏิบัติงาน

2. สำรองข้อมูลที่สำคัญ

3. ควบคุมการเข้าถึงเครือข่ายและระบบสารสนเทศ

4. ประเมินความเสี่ยงด้านระบบสารสนเทศ

5. จัดเก็บบันทึกกิจกรรมหรือ log ไปยังพื้นที่จัดเก็บในส่วนกลาง

6. ทบทวน และยกเลิกบริการที่ไม่จำเป็นบนเครื่องให้บริการ

7. กำหนดเจ้าหน้าที่ประสานงานด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ในระดับบริหารกับระดับปฏิบัติการ

8. ให้ความรู้กับผู้ใช้งานในหน่วยงานเกี่ยวกับการป้องกันตนเองจากการติดมัลแวรด์เรียกค่าไถ่

 

—————————————————————————————————————————————————————–

ที่มา : BBC Thai      / วันที่เผยแพร่  7 ก.ย.2564
Link : https://www.bbc.com/thai/thailand-58472276