Vụ rò rỉ dữ liệu CareCloud mở rộng lên 3,7 triệu người bị ảnh hưởng

Vụ rò rỉ dữ liệu tại CareCloud, nhà cung cấp giải pháp công nghệ cho ngành y tế, đã chính thức vượt qua con số 3,7 triệu người bị ảnh hưởng — gấp hơn 10 lần so với ước tính ban đầu. Đây là một trong những vụ lộ lọt dữ liệu y tế lớn nhất năm 2025 tại Mỹ, đặt ra câu hỏi lớn về năng lực bảo mật của các nền tảng đám mây trong lĩnh vực nhạy cảm này.

Thông tin ban đầu được CareCloud công bố vào đầu tháng 7, khi công ty phát hiện một cuộc tấn công mạng xâm nhập hệ thống của họ từ giữa tháng 3. Vụ việc được phát hiện sau khi một môi trường lưu trữ hồ sơ sức khỏe điện tử (EHR) gặp sự cố bất thường.

Minh họa vụ vi phạm dữ liệu y tế

Chi tiết vụ tấn công

Theo điều tra của CareCloud, tin tặc đã truy cập trái phép vào một trong các môi trường AWS của công ty trong khoảng thời gian từ ngày 10/3 đến 16/3. Các đối tượng tấn công khai thác quyền truy cập này để đánh cắp dữ liệu từ nhiều cơ sở dữ liệu trong hệ thống.

Dữ liệu bị đánh cắp bao gồm:

• Tên, địa chỉ và ngày sinh
• Số an sinh xã hội (SSN)
• Số giấy phép lái xe
• Thông tin bảo hiểm y tế
• Hồ sơ và thông tin y tế, chăm sóc sức khỏe

Đối với một nhóm rất nhỏ người dùng, tin tặc còn lấy được toàn bộ dữ liệu thẻ thanh toán.

Số liệu tăng chóng mặt

Ban đầu, các báo cáo gửi tới Tổng chưởng lý (AG) của nhiều bang tại Mỹ trong tháng 7 cho thấy khoảng 350.000 người bị ảnh hưởng, với mỗi bang dao động vài chục nghìn người. Tuy nhiên, Cổng thông tin theo dõi vi phạm dữ liệu y tế của HHS đã công bố số liệu hoàn toàn khác:

• Ngày thứ Hai: 3.371.508 người bị ảnh hưởng
• Ngày thứ Ba: cập nhật lên 3.756.469 người

Mức tăng gấp 10 lần này ban đầu khiến nhiều chuyên gia nghi ngờ có sai sót về số liệu. Tuy nhiên, phía HHS đã xác nhận với SecurityWeek rằng con số này là chính xác và phản ánh dữ liệu mới nhất mà cơ quan này nhận được từ CareCloud.

"Chúng tôi xác nhận số liệu là chính xác và thể hiện dữ liệu mới nhất được cung cấp cho cơ quan." — Đại diện HHS

Ai đứng sau vụ tấn công?

Hiện chưa có nhóm tội phạm mạng nào công khai nhận trách nhiệm về vụ hack vào CareCloud. Công ty cũng không tiết lộ danh tính kẻ tấn công. Điều đáng chú ý là thông tin về việc CareCloud có trả tiền chuộc để ngăn dữ liệu bị công khai hay không vẫn đang bị bỏ ngỏ.

Chân dung tác giả bài viết gốc

Bài học cho doanh nghiệp Việt Nam

Vụ việc CareCloud là lời cảnh báo mạnh mẽ cho các doanh nghiệp Việt Nam, đặc biệt trong bối cảnh chuyển đổi số y tế đang diễn ra mạnh mẽ. Khi các bệnh viện và phòng khám tại Việt Nam ngày càng phụ thuộc vào nền tảng đám mây để lưu trữ hồ sơ bệnh nhân, việc đảm bảo an ninh cho hạ tầng cloud trở thành ưu tiên sống còn.

Một số khuyến nghị quan trọng cho các tổ chức đang vận hành hệ thống dữ liệu y tế:

• Kiểm toán bảo mật định kỳ trên toàn bộ hạ tầng cloud, không chỉ các hệ thống frontend
• Mã hóa dữ liệu nhạy cảm cả khi lưu trữ lẫn truyền tải
• Giám sát liên tục các phiên truy cập bất thường vào môi trường dữ liệu lớn
• Xây dựng kế hoạch ứng phó sự cố với kịch bản dữ liệu bị đánh cắp trên quy mô lớn
• Cập nhật thông tin kịp thời cho cơ quan quản lý và người dùng khi xảy ra vi phạm

Vụ vi phạm này cho thấy ngay cả những công ty chuyên cung cấp giải pháp công nghệ cho ngành y tế cũng không thể lơ là an ninh mạng. Với hơn 3,7 triệu hồ sơ bệnh nhân bị lộ, hậu quả về uy tín và pháp lý đối với CareCloud sẽ còn kéo dài trong nhiều năm tới.