Tập đoàn công nghệ y tế Veradigm Inc. đã công bố một sự cố an ninh mạng xảy ra tại một trong những nhà cung cấp bên thứ ba của mình, dẫn đến việc làm lộ thông tin bệnh nhân nhạy cảm, bao gồm cả số An sinh Xã hội, cho một nhóm khách hàng hạn chế của công ty.
Sự cố rò rỉ dữ liệu tại nhà cung cấp bên thứ ba
Thông báo này, được gửi lên Ủy ban Chứng khoán và Giao dịch Hoa Kỳ (SEC) vào ngày 8 tháng 9 năm 2026, là vụ việc mới nhất trong chuỗi các vụ rò rỉ dữ liệu liên quan đến nhà cung cấp, ảnh hưởng đến các tổ chức y tế vốn phụ thuộc vào các hệ thống bên thứ ba được kết nối để cung cấp dịch vụ chăm sóc bệnh nhân.
Theo hồ sơ Form 8-K của Veradigm, một bên không được ủy quyền đã truy cập được thông tin đăng nhập từ môi trường của chính nhà cung cấp, thay vì xâm nhập trực tiếp vào hạ tầng nội bộ của Veradigm. Những thông tin đăng nhập bị đánh cắp này đã cho phép truy cập vào một API ứng dụng cụ thể mà nhà cung cấp sử dụng để cung cấp dịch vụ thay mặt cho các khách hàng y tế của Veradigm.
Thông qua điểm truy cập hạn chế này, kẻ tấn công đã tải xuống các bản sao dữ liệu cá nhân của bệnh nhân. Trong một số trường hợp, số An sinh Xã hội đã có trong các bản ghi bị lộ.
Điều đáng chú ý là Veradigm khẳng định không có thông tin lâm sàng hoặc y tế nào bị xâm phạm, điều này phân biệt sự cố này với các vụ đánh cắp hồ sơ y tế đã gây ảnh hưởng nghiêm trọng đến ngành y tế trong những năm gần đây.
Veradigm nhấn mạnh rằng các thông tin đăng nhập bị xâm phạm chỉ giới hạn ở giao diện dành cho nhà cung cấp và không mở rộng sang mạng lưới rộng lớn hơn, máy chủ, cơ sở dữ liệu hoặc các hệ thống nội bộ khác của công ty. Công ty cũng xác nhận rằng vụ việc không gây ra bất kỳ sự gián đoạn hoạt động nào đối với các nền tảng hoặc dịch vụ của mình, cho thấy cuộc xâm nhập chỉ giới hạn trong kênh truy cập dữ liệu hẹp chứ không phải là một cuộc tấn công quy mô lớn vào mạng.
Rủi ro từ các nhà cung cấp bên thứ ba trong ngành y tế
Mô hình truy cập hạn chế, dựa trên thông tin đăng nhập này phản ánh một xu hướng rộng lớn hơn trong ngành: các đối tác kinh doanh và nhà cung cấp bên thứ ba ngày càng trở thành mắt xích yếu trong bảo mật dữ liệu y tế. Theo báo cáo, họ chiếm một phần đáng kể trong các vụ việc bị lộ dữ liệu được báo cáo trong những năm gần đây.
Sau khi phát hiện sự cố, Veradigm đã kích hoạt các quy trình ứng phó sự cố an ninh mạng và thông báo cho các cơ quan thực thi pháp luật. Công ty đang xem xét phạm vi dữ liệu bị ảnh hưởng và đã bắt đầu thông báo trực tiếp cho các khách hàng và cá nhân bị ảnh hưởng, đồng thời cung cấp dịch vụ giám sát tín dụng khi thích hợp.
Veradigm cho biết họ chưa xác định được đầy đủ mức độ trách nhiệm pháp lý tiềm tàng từ sự cố này, nhưng hiện tại không tin rằng vụ việc có khả năng ảnh hưởng đáng kể đến hoạt động kinh doanh hoặc kết quả tài chính của mình. Tuy nhiên, việc lộ thông tin cá nhân nhạy cảm vẫn là một vấn đề đáng quan ngại, đòi hỏi các biện pháp tăng cường an ninh cho chuỗi cung ứng.
Sự cố này nhấn mạnh tầm quan trọng của việc thực hiện các biện pháp bảo mật chặt chẽ đối với các nhà cung cấp bên thứ ba, đặc biệt trong lĩnh vực y tế nơi dữ liệu bệnh nhân có giá trị cao và được bảo vệ nghiêm ngặt. Việc đánh giá rủi ro và kiểm soát truy cập đối với các đối tác bên thứ ba là yếu tố then chốt để ngăn chặn các vụ rò rỉ dữ liệu và bảo vệ thông tin nhạy cảm.
Để tìm hiểu thêm về các giai đoạn triển khai AI SOC, bạn có thể tham khảo Sổ tay Triển khai AI SOC.
