Rò rỉ dữ liệu tại Paradigm Healthcare ảnh hưởng gần 970.000 thành viên Medi-Cal

Paradigm Healthcare Services vừa báo cáo lên Bộ Y tế và Dịch vụ Nhân sinh Hoa Kỳ (HHS) rằng một vụ xâm nhập dữ liệu được phát hiện từ năm ngoái đã ảnh hưởng đến hơn 970.000 người. Đáng chú ý, công ty mất gần một năm mới bắt đầu gửi thông báo đến những người bị ảnh hưởng.

Minh họa về rò rỉ dữ liệu trong lĩnh vực y tế

Diễn biến vụ việc

Paradigm, có trụ sở tại San Francisco, xử lý hóa đơn thanh toán cho Medi-Cal — chương trình bảo hiểm y tế dành cho người thu nhập thấp của bang California — theo một thỏa thuận sử dụng dữ liệu với Sở Dịch vụ Y tế California (DHCS). Công ty cũng lưu trữ mã số định danh của các thành viên Medi-Cal thay mặt cho sở này.

Theo công ty, họ phát hiện truy cập trái phép vào mạng nội bộ vào ngày 13/10/2025. Tuy nhiên, phải đến ngày 18/8/2026, Paradigm mới xác định được rằng một số tệp chứa thông tin sức khỏe được bảo vệ (PHI) của một nhóm cá nhân cụ thể có thể đã bị truy cập trái phép trong khoảng thời gian từ 8/10/2025 đến 15/10/2025.

Các tệp bị xâm phạm bao gồm họ tên, ngày sinh, giới tính và mã số định danh thành viên Medi-Cal. Paradigm khẳng định nền tảng hóa đơn và tài liệu dịch vụ trực tuyến Student Health Network (SHN) của họ không bị ảnh hưởng.

Gần 11 tháng mới thông báo cho người dùng

Các thư thông báo của Paradigm được đánh ngày 14/9/2026, tức khoảng 11 tháng sau khi phát hiện vụ xâm nhập. Trong thư, công ty cho biết: "Chúng tôi không có bằng chứng nào cho thấy thông tin của quý vị đã bị sử dụng để lừa đảo hoặc đánh cắp danh tính do sự cố này."

Thông báo không nêu tên nhóm tấn công, không giải thích cách kẻ xâm nhập giành được quyền truy cập, cũng không cho biết liệu dữ liệu có bị đánh cắp ra ngoài hay không.

Paradigm cho biết họ đã đưa một số hệ thống ra khỏi trạng thái hoạt động, thông báo cho cơ quan thực thi pháp luật và mời các chuyên gia ứng cứu sự cố bên ngoài vào hỗ trợ. Đến nay, chưa có nhóm tội phạm mạng nào đứng ra nhận trách nhiệm về vụ tấn công này.

Hai vụ rò rỉ dữ liệu y tế khác cũng được ghi nhận

Hệ thống theo dõi rò rỉ dữ liệu y tế của HHS cũng vừa cập nhật thêm hai sự cố riêng biệt do công ty luật Tarter Krinsky & Drogin (TKD) và Ridgeway Pharmacy Ltd công bố.

TKD, đơn vị cung cấp dịch vụ cho các nhà cung cấp dịch vụ y tế, bắt đầu thông báo cho người bị ảnh hưởng vào đầu tháng 9 rằng họ phát hiện hoạt động đáng ngờ trên mạng từ tháng 9/2025. Công ty hoàn tất điều tra một năm sau đó và xác định kẻ tấn công đã truy cập một số máy chủ trong khoảng thời gian từ 9/7 đến 9/9/2025. TKD báo cáo với HHS rằng sự cố ảnh hưởng đến hơn 196.000 người.

Tác giả Eduard Kovacs, biên tập viên cấp cao của SecurityWeek

Trong khi đó, Ridgeway Pharmacy bắt đầu gửi thông báo rò rỉ dữ liệu vào ngày 21/9, sau khi phát hiện truy cập trái phép vào thông tin cá nhân vào ngày 21/8/2026. Công ty xác định website của mình đã bị tấn công và kẻ tấn công có thể đã truy cập các thông tin như tên, địa chỉ, ngày sinh, thông tin sức khỏe và bảo hiểm, thông tin đơn thuốc và dữ liệu thẻ thanh toán. Ridgeway Pharmacy cho biết hơn 258.000 người bị ảnh hưởng.

Bài học cho lĩnh vực y tế và người dùng tại Việt Nam

Những vụ việc trên phản ánh một xu hướng đáng lo ngại: các tổ chức y tế và đối tác xử lý dữ liệu y tế đang trở thành mục tiêu hấp dẫn của tội phạm mạng, bởi dữ liệu sức khỏe có giá trị cao trên thị trường ngầm và thường gắn liền với thông tin định danh cá nhân.

Điểm chung dễ nhận thấy ở cả ba sự cố là thời gian phát hiện và thời gian thông báo quá dài, có trường hợp kéo dài gần một năm. Điều này làm gia tăng rủi ro cho người bị ảnh hưởng, đặc biệt khi dữ liệu bị lộ bao gồm các yếu tố có thể dùng cho hành vi mạo danh.

Logo SecurityWeek

Đối với người dùng tại Việt Nam, sự việc là lời nhắc nhở về tầm quan trọng của việc bảo vệ thông tin định danh cá nhân, kể cả khi dữ liệu đó được lưu trữ bởi bên thứ ba như bệnh viện, phòng khám hay đơn vị xử lý thanh toán. Các tổ chức trong nước cũng cần chú trọng hơn đến giám sát an ninh liên tục, xây dựng quy trình ứng cứu sự cố rõ ràng và rút ngắn thời gian từ lúc phát hiện đến lúc thông báo cho người bị ảnh hưởng.