Rò rỉ khóa truy cập của nhà cung cấp khiến dữ liệu 238.000 thành viên Denver Health gặp rủi ro

Denver Health Medical Plan (DHMP) vừa thông báo tới 238.000 thành viên rằng thông tin cá nhân và dữ liệu sức khỏe của họ có thể đã bị xâm phạm trong một vụ rò rỉ dữ liệu. Nguyên nhân xuất phát từ phía nhà cung cấp bên thứ ba SquareML, đơn vị cung cấp nền tảng phân tích dữ liệu y tế không cần lập trình (no-code).

Minh họa dữ liệu tài chính và y tế bị xâm phạm

Khóa truy cập bị rò rỉ trên trang web công khai

DHMP là tổ chức chăm sóc có quản lý phi lợi nhuận trực thuộc hệ thống Denver Health and Hospital Authority, có trụ sở tại Denver, bang Colorado. Thông qua chương trình Denver Health Medicaid Choice, đơn vị này quản lý quyền lợi Health First Colorado (Medicaid) cho các thành viên tại Denver và ba quận lân cận.

Theo thông báo sự cố của DHMP, SquareML đã báo cho đơn vị quản lý kế hoạch bảo hiểm vào ngày 14/8/2026 rằng một khóa truy cập (access key) đã vô tình bị đăng lên một trang web có thể truy cập công khai.

"Những thông tin xác thực này có thể đã được sử dụng để truy cập vào cơ sở dữ liệu do SquareML duy trì, nơi chứa thông tin về 238.083 thành viên của DHMP", thông báo nêu rõ.

Đáng chú ý, khóa truy cập này đã bị đăng công khai từ ngày 27/6/2025 nhưng mãi đến ngày 18/8/2026 mới bị thu hồi. Trong khoảng thời gian hơn một năm đó, khóa này hoàn toàn có thể bị lợi dụng để truy cập dữ liệu cá nhân và sức khỏe lưu trữ trong cơ sở dữ liệu.

Dữ liệu nào có thể bị ảnh hưởng?

Theo DHMP, tài khoản bị xâm phạm chỉ có quyền chỉ đọc (read-only), nghĩa là khóa truy cập không thể được dùng để tải xuống, xuất, xóa hay thay đổi bất kỳ thông tin nào.

Các thông tin có nguy cơ bị lộ bao gồm:

• Họ tên, ngày sinh, mã bưu chính, thành phố, tiểu bang
• Thông tin nhân khẩu học
• Các chỉ số sức khỏe
• Dữ liệu về điều kiện hưởng quyền lợi bảo hiểm y tế
• Thông tin nhập viện, tên nhà cung cấp dịch vụ y tế
• Dữ liệu xuất viện và chuyển tuyến

DHMP khẳng định cơ sở dữ liệu này không lưu trữ số An sinh Xã hội (SSN) hay thông tin tài chính. Đơn vị cũng cho biết hiện chưa có bằng chứng nào cho thấy thông tin thành viên đã bị xem hoặc sử dụng sai mục đích, mà chỉ là "có thể đã bị" như vậy.

Biểu tượng an ninh mạng

Biện pháp khắc phục

Để ứng phó với sự cố, DHMP và SquareML đã đặt lại mật khẩu cho toàn bộ tài khoản từng có quyền truy cập vào cơ sở dữ liệu. Hai bên cũng đang triển khai thêm các hành động khắc phục bổ sung.

Sự việc một lần nữa cho thấy rủi ro lớn đến từ chuỗi cung ứng bên thứ ba trong lĩnh vực y tế. Chỉ một khóa truy cập bị vô tình đăng công khai cũng đủ khiến hàng trăm nghìn người phải đối mặt với nguy cơ lộ dữ liệu nhạy cảm. Với các tổ chức tại Việt Nam đang ngày càng phụ thuộc vào nền tảng đám mây và nhà cung cấp dịch vụ bên ngoài, bài học về quản lý khóa và thông tin xác thực — cùng việc giám sát chặt chẽ quyền truy cập của đối tác — trở nên đặc biệt quan trọng.

Việc khóa truy cập tồn tại công khai suốt hơn một năm là lời cảnh báo về khoảng trống trong giám sát và thu hồi thông tin xác thực của các nhà cung cấp dịch vụ.