Rò rỉ dữ liệu y tế tại Oracle Health: Gần 20 triệu người bị ảnh hưởng

Thông tin cá nhân và dữ liệu y tế của gần 20 triệu người đã bị xâm phạm trong một cuộc tấn công mạng nhắm vào hệ thống Cerner cũ của Oracle Health hồi đầu năm 2025. Con số này cao hơn rất nhiều so với các báo cáo và thông báo trước đó gửi đến bệnh nhân.

Quy mô vụ việc lớn hơn nhiều so với báo cáo ban đầu

Theo hồ sơ từ văn phòng tổng chưởng lý bang Texas, khoảng 2.992.244 cư dân Texas bị ảnh hưởng. Các thông báo nộp tại Nam Carolina và Washington lần lượt ghi nhận khoảng 283.000 và 69.000 cư dân bị ảnh hưởng. Tuy nhiên, tổng hợp từ nhiều bang cho thấy con số thực tế có thể lên tới gần 20 triệu người trên toàn nước Mỹ.

Minh họa lĩnh vực y tế bị ảnh hưởng bởi tấn công mạng

Oracle chưa đưa ra tuyên bố công khai về số lượng cá nhân bị ảnh hưởng và từ chối bình luận với Bloomberg. Nếu được xác nhận, đây sẽ là một trong những vụ rò rỉ dữ liệu y tế lớn nhất từng được ghi nhận tại Mỹ, chỉ đứng sau vụ tấn công ransomware vào Change Healthcare năm 2024 với 192,7 triệu người bị ảnh hưởng.

Diễn biến và cách thức tấn công

Cerner — nhà cung cấp hệ thống hồ sơ sức khỏe điện tử (EHR) — đã trở thành một phần của Oracle từ tháng 6 năm 2022, sau thương vụ định giá khoảng 28,3 tỷ USD. Hiện mảng kinh doanh này hoạt động dưới tên Oracle Health.

Oracle bắt đầu gửi cảnh báo đến khách hàng y tế từ tháng 3 năm 2025. Nội dung thông báo cho biết:

"Vào khoảng ngày 20 tháng 2 năm 2025, chúng tôi phát hiện một sự kiện an ninh mạng liên quan đến việc truy cập trái phép vào một lượng dữ liệu Cerner của quý khách nằm trên máy chủ cũ chưa được di chuyển lên Oracle Cloud."

Theo Oracle, bằng chứng cho thấy kẻ tấn công đã sử dụng thông tin đăng nhập bị đánh cắp của khách hàng để truy cập máy chủ vào khoảng sau ngày 22 tháng 1 năm 2025, rồi sao chép dữ liệu sang một máy chủ từ xa. Các nguồn tin cho biết các nỗ lực tống tiền nhắm vào bệnh viện bị ảnh hưởng đến từ một cá nhân có biệt danh là 'Andrew', không thuộc bất kỳ băng nhóm ransomware nào đã được biết đến.

Đối tượng này yêu cầu hàng triệu USD tiền mã hóa để không tiết lộ hoặc bán dữ liệu bị đánh cắp, đồng thời lập các trang web công khai về vụ rò rỉ nhằm gây áp lực lên nạn nhân.

Loại dữ liệu bị xâm phạm

Một mẫu thư thông báo gửi đến cơ quan quản lý bang California mô tả các loại dữ liệu liên quan:

• Tên người dùng
• Số An sinh xã hội (Social Security number)
• Thông tin trong hồ sơ bệnh án như mã số hồ sơ, bác sĩ điều trị, chẩn đoán, đơn thuốc, kết quả xét nghiệm, hình ảnh và quá trình điều trị

Chuyên gia an ninh mạng Eduard Kovacs

Theo hồ sơ nộp cho cơ quan quản lý bang Oregon, khoảng thời gian xảy ra sự cố là từ 22 tháng 1 đến 1 tháng 4 năm 2025, với ngày phát hiện là 20 tháng 2 năm 2025.

Bài học cho các tổ chức và người dùng Việt Nam

Sự cố này là lời cảnh tỉnh cho các tổ chức y tế và doanh nghiệp tại Việt Nam đang trong quá trình chuyển đổi số. Một số điểm đáng lưu ý:

• Hệ thống cũ chưa di chuyển lên cloud thường là điểm yếu bị tin tặc nhắm tới do thiếu các bản vá bảo mật và giám sát hiện đại.
• Thông tin đăng nhập bị đánh cắp vẫn là vector tấn công phổ biến nhất, đòi hỏi doanh nghiệp phải triển khai xác thực đa yếu tố (MFA) và quản lý danh tính tập trung.
• Dữ liệu y tế là mục tiêu có giá trị cao trên thị trường đen, vì vậy các bệnh viện và cơ sở y tế cần có chiến lược bảo vệ dữ liệu nghiêm ngặt hơn.

Với xu hướng các bệnh viện Việt Nam đẩy mạnh số hóa hồ sơ bệnh án và triển khai hệ thống EHR, việc học hỏi từ những sự cố quốc tế như Oracle Health là cần thiết để tránh lặp lại sai lầm tương tự.

SecurityWeek