9,5 Triệu Người Bị Ảnh Hưởng Bởi Vụ Rò Rỉ Dữ Liệu Tại Aesto Health

Hơn 9,5 triệu người đã bị đánh cắp thông tin cá nhân và hồ sơ sức khỏe trong một vụ vi phạm dữ liệu tại công ty công nghệ chăm sóc sức khỏe Aesto Health. Sự cố này không chỉ gây rúng động ngành y tế Mỹ mà còn là lời cảnh báo mạnh mẽ về an ninh hạ tầng đám mây trong lĩnh vực nhạy cảm nhất hiện nay.

Vụ việc được phát hiện vào ngày 18/12/2025, nhưng theo công bố chính thức trên hồ sơ gửi Bộ Y tế và Dịch vụ Nhân sinh Mỹ (HHS), tin tặc đã xâm nhập và đánh cắp dữ liệu từ ngày 2/12 đến hết 18/12. Phân tích sâu hơn, dữ liệu bị đánh cắp nằm trên một phần hạ tầng Amazon Web Services (AWS) — nền tảng đám mây phổ biến mà hàng triệu doanh nghiệp trên thế giới đang sử dụng.

Ảnh minh họa vụ rò rỉ dữ liệu y tế

Thông tin nhạy cảm nào đã bị lộ?

Theo thông báo từ Aesto Health, dữ liệu bị xâm phạm bao gồm các loại thông tin đặc biệt nhạy cảm:

• Họ tên đầy đủ và ngày tháng năm sinh
• Số An sinh Xã hội (SSN) và số giấy phép lái xe
• Số tài khoản tài chính và mã số thuế
• Thông tin y tế chi tiết và thông tin bảo hiểm sức khỏe

Với những dữ liệu này, tin tặc có thể thực hiện hành vi trộm danh tính, gian lận bảo hiểm, hoặc tống tiền nạn nhân. Điều đáng lo ngại là hồ sơ y tế thường không thể thay đổi như mật khẩu hay số thẻ tín dụng, khiến nạn nhân phải đối mặt với rủi ro kéo dài trong nhiều năm.

Diễn biến vụ việc và phản ứng của công ty

Aesto Health, có trụ sở tại Birmingham, Alabama, chuyên cung cấp dịch vụ di trú dữ liệu an toàn, trao đổi hồ sơ sức khỏe điện tử (EHR) và lưu trữ dữ liệu cũ cho các nhà cung cấp dịch vụ y tế. Khi phát hiện sự cố, công ty cho biết đã ngay lập tức khoanh vùng và khởi động cuộc điều tra toàn diện.

“Khi phát hiện hoạt động trái phép, chúng tôi ngay lập tức ngăn chặn sự cố và bắt đầu cuộc điều tra kỹ lưỡng. Chúng tôi đã hợp tác với các chuyên gia an ninh mạng hàng đầu để xác định thông tin cá nhân nào bị ảnh hưởng”, đại diện Aesto Health chia sẻ.

Quá trình điều tra kéo dài đến tận ngày 26/5/2026 mới xác định đầy đủ phạm vi thiệt hại. Con số cuối cùng lên tới 9.540.683 người bị ảnh hưởng, một trong những vụ vi phạm dữ liệu y tế lớn nhất trong những năm gần đây.

Biểu tượng bảo mật thông tin

Tác động lan rộng đến hệ thống y tế Mỹ

Theo thống kê, ít nhất 24 khách hàng là nhà cung cấp dịch vụ y tế của Aesto Health tại nhiều bang đã bị ảnh hưởng bởi sự cố này. Một số tổ chức trong số đó đã chủ động tự thông báo cho bệnh nhân của họ về nguy cơ bị lộ thông tin.

HHS đã thêm Aesto Health vào cổng thông tin về vi phạm dữ liệu từ thứ Hai vừa qua, một động thái cho thấy mức độ nghiêm trọng của vụ việc. Các chuyên gia an ninh mạng đang kêu gọi các tổ chức y tế cần siết chặt hạ tầng đám mây và triển khai các biện pháp bảo mật đa lớp thay vì chỉ dựa vào cấu hình AWS mặc định.

Bài học cho doanh nghiệp Việt Nam

Vụ việc tại Aesto Health là một hồi chuông cảnh tỉnh cho các doanh nghiệp Việt Nam, đặc biệt là những đơn vị trong lĩnh vực y tế và công nghệ đang ngày càng phụ thuộc vào dịch vụ đám mây như AWS, Google Cloud hay Azure. Các bài học rút ra bao gồm:

• Kiểm soát truy cập chặt chẽ và áp dụng nguyên tắc đặc quyền tối thiểu
• Mã hóa dữ liệu ở mọi trạng thái — cả khi lưu trữ và truyền tải
• Thường xuyên kiểm tra, đánh giá bảo mật cho hệ thống và các nhà cung cấp bên thứ ba
• Xây dựng kế hoạch ứng phó sự cố và công bố minh bạch để giảm thiểu thiệt hại về uy tín

An ninh mạng không còn là câu chuyện của riêng bộ phận IT, mà là trách nhiệm của toàn bộ tổ chức, đặc biệt khi dữ liệu y tế là một trong những mục tiêu săn lùng hàng đầu của tội phạm mạng toàn cầu.

Logo bảo mật SecurityWeek