บริษัทยักษ์ใหญ่ด้านการกระจายเวชภัณฑ์เพิ่งกลายเป็นชื่อใหม่ล่าสุดในรายชื่อบริษัทด้านการดูแลสุขภาพของสหรัฐฯ ที่เพิ่มขึ้นเรื่อยๆซึ่งถูกแฮ็กเกอร์โจมตีเพื่อไล่ล่าข้อมูลเวชระเบียนผู้ป่วย เหตุการณ์ข้อมูลรั่วไหลของ McKesson ซึ่งเปิดเผยเมื่อวันที่ 28 สิงหาคม 2026 ได้จุดชนวนข้อเรียกร้องค่าไถ่เป็นมูลค่าหลายสิบล้านดอลลาร์ และทำให้ข้อมูลทางการแพทย์ที่อ่อนไหวของผู้ป่วยซึ่งอาจมีจำนวนหลายล้านคนตกอยู่ในความเสี่ยง
Summary
ประเด็นสำคัญ
- McKesson ตรวจพบการเข้าถึงโดยไม่ได้รับอนุญาตไปยังแอปพลิเคชันของบุคคลที่สามเมื่อวันที่ 25 สิงหาคม 2026 และเปิดเผยเหตุการณ์ดังกล่าวในเอกสารที่ยื่นต่อ ก.ล.ต. สหรัฐฯ (SEC)
- กลุ่มกรรโชกทรัพย์ ShinyHunters อ้างว่าขโมยบันทึกข้อมูลประมาณ 284 ล้านรายการจากสภาพแวดล้อม Snowflake และ Salesforce ของ McKesson — ตัวเลขนี้หมายถึงจำนวนแถวในฐานข้อมูล ไม่ใช่จำนวนผู้ป่วยที่ไม่ซ้ำกันซึ่งได้รับการยืนยันแล้ว
- แฮ็กเกอร์ระบุว่าพวกเขาใช้การโทร vishing เพื่อหลอกพนักงานและยึดบัญชี Okta single sign-on จากนั้นจึงเคลื่อนย้ายด้านข้างเข้าสู่ระบบคลาวด์ภายในช่วงเวลา 4 วัน ระหว่างวันที่ 21 สิงหาคม ถึง 25 สิงหาคม
- ShinyHunters เรียกค่าไถ่เป็นจำนวนเงิน 55,236,150 ดอลลาร์สหรัฐ และให้เวลา McKesson ตอบกลับภายใน 72 ชั่วโมง โดยมีรายงานว่าบริษัทไม่เคยตอบสนองเลย
- McKesson ยืนยันว่ามีการเสื่อมถอยของการให้บริการเป็นระยะ แต่ปฏิเสธที่จะระบุว่ามีผู้ได้รับผลกระทบจำนวนเท่าใดหรือได้รับข้อเรียกร้องค่าไถ่เป็นจำนวนเท่าใด
การรั่วไหลและข้ออ้างของ ShinyHunters
การเปิดเผยของ McKesson เองใช้ถ้อยคำอย่างระมัดระวังและให้รายละเอียดเพียงเล็กน้อย แต่ก็ยืนยันแก่นของเรื่องราว: ผู้บุกรุกสามารถเจาะเข้าไปในแอปพลิเคชันของบุคคลที่สามและดึงข้อมูลออกมาก่อนที่บริษัทจะจับได้ เหตุการณ์ข้อมูลรั่วไหลของ McKesson ถูกตรวจพบภายในองค์กรครั้งแรกเมื่อวันที่ 25 สิงหาคม 2026 และบริษัทได้แจ้งต่อสำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ของสหรัฐฯ ว่าการสืบสวนยังอยู่ใน “ระยะเริ่มต้น” พร้อมทั้งระบุว่ายังไม่ได้ตัดสินใจว่าเหตุการณ์นี้เป็นเหตุการณ์ที่มีนัยสำคัญทางการเงินหรือไม่
Francisco Fraga ประธานเจ้าหน้าที่ฝ่ายข้อมูลและเทคโนโลยีของ McKesson บอกกับลูกค้าว่าการเข้าถึงโดยไม่ได้รับอนุญาตและการดึงข้อมูลออกไปที่ได้รับการยืนยันนั้นส่งผลกระทบต่อ “กลุ่มย่อยของลูกค้าภายในหน่วยธุรกิจ Oncology & Multispecialty และ Medical-Surgical ของเรา” เขายังกล่าวด้วยว่าบริษัทไม่ได้ตัดการเชื่อมต่อระบบเชิงรุก และไม่เชื่อว่าลูกค้าจำเป็นต้องดำเนินการใดๆ แม้ว่าเขาจะยอมรับว่าการสืบสวนยังคงดำเนินอยู่ก็ตาม
แฮ็กเกอร์เจาะระบบได้อย่างไร
ShinyHunters ซึ่งถูกอธิบายว่าเป็นหนึ่งในปฏิบัติการกรรโชกข้อมูลที่มีความเคลื่อนไหวมากที่สุดในช่วงสองปีที่ผ่านมา บอกกับ Bleeping Computer และ TechCrunch ว่าพวกเขาได้เข้าถึงระบบผ่านการโทรหลอกลวงด้วยเสียง — หรือ vishing — ที่มุ่งเป้าไปยังพนักงานของ McKesson ตามคำกล่าวของกลุ่มนี้ แคมเปญดังกล่าวอาศัยโดเมนเลียนแบบ mckesson[.]claims ซึ่งถูกสร้างขึ้นเพื่อปลอมเป็นฝ่ายช่วยเหลือภายในหรือทีมไอทีของบริษัท ซึ่งเป็นกลยุทธ์ที่สอดคล้องกับรูปแบบที่กว้างขึ้นซึ่งนักวิจัยที่ ReliaQuest ได้ติดตามอยู่แล้วในหลายองค์กรที่ถูกโจมตีโดยใช้รูปแบบชื่อโดเมน “.claims”
เมื่อผู้โจมตีหลอกให้พนักงานมอบข้อมูลรับรองการเข้าสู่ระบบได้แล้ว พวกเขาก็ยึดบัญชี Okta single sign-on จากนั้น ShinyHunters ระบุว่าพวกเขาได้ขยายการเข้าถึงไปยังสภาพแวดล้อมคลาวด์ Salesforce และ Snowflake ของ McKesson ซึ่งเป็นที่เก็บข้อมูลผู้ป่วยและข้อมูลทางธุรกิจส่วนใหญ่ของบริษัท
พวกเขาบอกว่าขโมยอะไรไปบ้าง
ขนาดของการโจรกรรมที่ถูกอ้างคือสิ่งที่ทำให้เหตุการณ์นี้โดดเด่น ShinyHunters บอกกับ Bleeping Computer ว่าพวกเขาดึงข้อมูลออกไปประมาณหนึ่งเทราไบต์ภายในสี่วัน ระหว่างวันที่ 21 สิงหาคม ถึง 25 สิงหาคม และสภาพแวดล้อม Snowflake เพียงอย่างเดียวก็ให้บันทึกข้อมูลประมาณ 284 ล้านรายการ กลุ่มนี้ได้ชี้แจงในภายหลังว่าตัวเลขดังกล่าวสะท้อนจำนวนแถวดิบในฐานข้อมูล ไม่ใช่จำนวนผู้ป่วยที่ไม่ซ้ำกันซึ่งได้รับการยืนยันแล้ว และยอมรับว่ายังไม่ได้วิเคราะห์ข้อมูลทั้งหมดอย่างครบถ้วนเพื่อระบุว่ามีบุคคลจริงๆ อยู่ในนั้นจำนวนเท่าใด
ความแตกต่างนั้นมีความสำคัญ หมายความว่าขอบเขตที่แท้จริงของเหตุการณ์ข้อมูลรั่วไหลของ McKesson ยังคงไม่แน่นอนอย่างแท้จริง แม้แต่ตามคำกล่าวของแฮ็กเกอร์เอง และ McKesson ก็ยังไม่ได้ให้การประเมินของตนเอง
ไม่ว่าจำนวนผู้ที่ได้รับผลกระทบจริงจะเป็นเท่าใด ประเภทของข้อมูลที่ถูกอ้างว่าถูกขโมยไปนั้นมีความกว้างขวาง ShinyHunters ระบุว่าขุมข้อมูลดังกล่าวประกอบด้วยชื่อ ที่อยู่บ้าน วันเดือนปีเกิด หมายเลขประกันสังคม รหัสผู้ป่วย หมายเลขโทรศัพท์ ที่อยู่อีเมล หมายเลข Medicaid หมายเลขเวชระเบียน ข้อมูลยาและประวัติการแพ้โรค โรคภัย ความพิการ รายละเอียดการนัดหมาย และข้อมูลแพทย์ กลุ่มนี้ยังอ้างด้วยว่าไฟล์ที่ถูกขโมยเกี่ยวข้องกับผู้ป่วยที่เสียชีวิตและผู้ป่วยระยะสุดท้าย บันทึกใบสั่งยาและการจัดส่งยา ใบแจ้งหนี้ การสื่อสารภายใน และข้อมูลที่เชื่อมโยงกับผู้ให้บริการด้านสุขภาพและคลินิกที่ใช้บริการของ McKesson TechCrunch รายงานว่าได้ตรวจสอบตัวอย่างข้อมูลที่รั่วไหลเพียงเล็กน้อยกับบันทึกสาธารณะแล้ว แม้ว่าข้ออ้างในวงกว้างจะยังไม่ได้รับการยืนยันอย่างอิสระจากนักวิจัยภายนอกหรือจาก McKesson เองก็ตาม
แยกจากเวชระเบียนผู้ป่วย แฮ็กเกอร์ระบุว่าข้อมูลพนักงานของ McKesson — รวมถึงที่อยู่บ้าน — ก็ถูกดึงออกไปด้วย ทำให้ผลกระทบขยายออกไปไกลกว่าฐานลูกค้าของบริษัท
คำขาด 55 ล้านดอลลาร์และการตอบสนองของ McKesson
เป้าหมายสุดท้ายดูเหมือนจะไม่ใช่แค่การขโมย แต่คือการกรรโชก ShinyHunters บอกกับ Bleeping Computer ว่าพวกเขาติดต่อ McKesson ทันทีหลังจากเสร็จสิ้นการขโมยข้อมูลเมื่อวันที่ 25 สิงหาคม และเรียกค่าไถ่เป็นจำนวนเงินที่แน่นอนคือ 55,236,150 ดอลลาร์สหรัฐ โดยให้บริษัทมีเวลา 72 ชั่วโมงในการตอบกลับ ตามคำกล่าวของกลุ่มนี้ McKesson ไม่เคยตอบสนองต่อข้อเรียกร้องเลย
ในที่สาธารณะ McKesson ยังคงยึดตามสคริปต์ที่แคบ โฆษก Kristina Chang บอกกับ TechCrunch ว่าบริษัท “ยังคงดำเนินงานในทุกสายธุรกิจ” และระบุว่า McKesson ไม่เชื่อว่ามีกิจกรรมที่ไม่ได้รับอนุญาตอย่างต่อเนื่องภายในระบบของตน บริษัทได้ยืนยันว่าลูกค้าอาจประสบกับการเสื่อมถอยของการให้บริการเป็นระยะที่เกี่ยวข้องกับเหตุการณ์ดังกล่าว แต่ปฏิเสธที่จะตอบคำถามเฉพาะเกี่ยวกับข้อเรียกร้องค่าไถ่หรือจำนวนบุคคลที่ข้อมูลของพวกเขาได้รับผลกระทบ
ความเงียบนั้นโดดเด่นในตัวมันเอง ทำไมเรื่องนี้จึงสำคัญ: เมื่อบริษัทที่จัดการข้อมูลผู้ป่วยในระดับเดียวกับ McKesson ไม่ยืนยันว่ามีผู้ได้รับผลกระทบจำนวนเท่าใด ผู้ป่วย ผู้ให้บริการ และหน่วยงานกำกับดูแลก็ต้องคาดเดาถึงการเปิดเผยความเสี่ยงที่แท้จริง — และความไม่แน่นอนนั้นมักคงอยู่ยาวนานหลังจากพาดหัวข่าวแรกๆ จางหายไป
รูปแบบการโจมตีไซเบอร์ด้านสุขภาพที่ขยายวงกว้างขึ้น
McKesson ไม่ใช่กรณีที่โดดเดี่ยว — มันเป็นเหตุการณ์ล่าสุดในคลื่นการโจมตีที่เคลื่อนไหวอย่างรวดเร็วต่อบริษัทด้านการดูแลสุขภาพและเทคโนโลยีการแพทย์ของสหรัฐฯ เมื่อสัปดาห์ที่แล้ว การโจมตีทางไซเบอร์ได้เล่นงานผู้ผลิตอุปกรณ์การแพทย์ Boston Scientific ทำให้เครือข่ายส่วนใหญ่ของบริษัทหยุดชะงักอย่างรุนแรงและต้องปิดระบบจำนวนมาก ซึ่งสะท้อนเหตุการณ์ก่อนหน้านี้ที่ผู้ผลิตอุปกรณ์อีกรายอย่าง Stryker ที่แฮ็กเกอร์ใช้เครื่องมือภายในเพื่อรีเซ็ตอุปกรณ์ของพนักงานหลายพันเครื่องจากระยะไกล
Abbott Laboratories และ Medtronic ต่างก็ประสบกับการโจมตีทางไซเบอร์ในช่วงไม่กี่เดือนที่ผ่านมาเช่นกัน การรั่วไหลของข้อมูลส่งผลกระทบต่อบริษัทเทคโนโลยีสุขภาพ TriZetto และผู้ให้บริการเวชระเบียนอิเล็กทรอนิกส์ CareCloud โดยแต่ละรายส่งผลกระทบต่อผู้ป่วยมากกว่า 3 ล้านคน ShinyHunters เองก็อ้างความรับผิดชอบต่อการรั่วไหลที่ One Medical ซึ่งเป็นบริษัทในเครือ Amazon และบริษัทประกันทันตกรรม DentaQuest รวมถึงการโจมตี Medtronic, iRhythm และ AdaptHealth
Health-ISAC ได้เตือนองค์กรด้านการดูแลสุขภาพแล้วเกี่ยวกับกระแสการโจมตีของ ShinyHunters ที่เพิ่มขึ้นซึ่งสร้างขึ้นรอบๆ การโจมตีด้วยวิศวกรรมสังคมที่มุ่งเป้าไปยังบัญชีองค์กรและแพลตฟอร์มคลาวด์หรือ SaaS — ซึ่งเป็นตำราการโจมตีแบบเดียวกับที่ถูกกล่าวหาว่าใช้กับ McKesson สำหรับอุตสาหกรรมที่เก็บข้อมูลส่วนบุคคลที่อ่อนไหวที่สุดประเภทหนึ่ง การที่รูปแบบ vishing-แล้วลุกลามสู่การเจาะระบบคลาวด์ซ้ำแล้วซ้ำเล่าเช่นนี้บ่งชี้ว่าผู้โจมตีได้ค้นพบวิธีการที่ใช้ได้ผลอย่างสม่ำเสมอ และการโจมตีทางไซเบอร์ด้านสุขภาพที่เชื่อมโยงกับกลุ่มอย่าง ShinyHunters ก็ไม่มีทีท่าว่าจะชะลอตัวลง
คำถามที่พบบ่อย
ใครเป็นผู้รับผิดชอบต่อเหตุการณ์ข้อมูลรั่วไหลของ McKesson?
กลุ่มแฮ็กเกอร์ ShinyHunters อ้างความรับผิดชอบต่อการโจมตีทางไซเบอร์ โดยระบุว่าได้เข้าถึงระบบผ่านการโทร vishing และการโจมตีด้วยวิศวกรรมสังคมที่มุ่งเป้าไปยังพนักงานของ McKesson
ข้อมูลประเภทใดที่ถูกขโมยไปในการโจมตีทางไซเบอร์ต่อ McKesson?
ShinyHunters อ้างว่าขโมยบันทึกข้อมูลประมาณ 284 ล้านรายการที่มีข้อมูลส่วนบุคคลและข้อมูลสุขภาพที่ได้รับการคุ้มครอง รวมถึงข้อมูลส่วนบุคคลของพนักงาน เช่น ที่อยู่บ้าน ตัวเลขดังกล่าวสะท้อนจำนวนแถวในฐานข้อมูล ไม่ใช่จำนวนผู้ป่วยที่ไม่ซ้ำกันซึ่งได้รับการยืนยันแล้ว
แฮ็กเกอร์เข้าถึงระบบของ McKesson ได้อย่างไร?
ตามคำกล่าวของแฮ็กเกอร์ การโทร vishing หลอกให้พนักงานมอบข้อมูลรับรองการเข้าสู่ระบบ ซึ่งถูกนำไปใช้ยึดบัญชี Okta single sign-on จากนั้นผู้โจมตีก็เคลื่อนย้ายเข้าสู่สภาพแวดล้อม Salesforce และ Snowflake ที่โฮสต์บนคลาวด์ของ McKesson เพื่อดึงข้อมูลออกมา
McKesson ได้จ่ายค่าไถ่ที่แฮ็กเกอร์เรียกร้องหรือไม่?
McKesson ปฏิเสธที่จะเปิดเผยรายละเอียดเกี่ยวกับการจ่ายค่าไถ่ใดๆ ShinyHunters ระบุว่าได้เรียกค่าไถ่เป็นจำนวนเงิน 55,236,150 ดอลลาร์สหรัฐ พร้อมกำหนดเส้นตาย 72 ชั่วโมง และ McKesson ไม่เคยตอบสนองต่อข้อเรียกร้องดังกล่าว
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”ใครเป็นผู้รับผิดชอบต่อเหตุการณ์ข้อมูลรั่วไหลของ McKesson?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”กลุ่มแฮ็กเกอร์ ShinyHunters อ้างความรับผิดชอบต่อการโจมตีทางไซเบอร์ โดยระบุว่าได้เข้าถึงระบบผ่านการโทร vishing และการโจมตีด้วยวิศวกรรมสังคมที่มุ่งเป้าไปยังพนักงานของ McKesson”}},{“@type”:”Question”,”name”:”ข้อมูลประเภทใดที่ถูกขโมยไปในการโจมตีทางไซเบอร์ต่อ McKesson?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”ShinyHunters อ้างว่าขโมยบันทึกข้อมูลประมาณ 284 ล้านรายการที่มีข้อมูลส่วนบุคคลและข้อมูลสุขภาพที่ได้รับการคุ้มครอง รวมถึงข้อมูลส่วนบุคคลของพนักงาน เช่น ที่อยู่บ้าน ตัวเลขดังกล่าวสะท้อนจำนวนแถวในฐานข้อมูล ไม่ใช่จำนวนผู้ป่วยที่ไม่ซ้ำกันซึ่งได้รับการยืนยันแล้ว”}},{“@type”:”Question”,”name”:”แฮ็กเกอร์เข้าถึงระบบของ McKesson ได้อย่างไร?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”ตามคำกล่าวของแฮ็กเกอร์ การโทร vishing หลอกให้พนักงานมอบข้อมูลรับรองการเข้าสู่ระบบ ซึ่งถูกนำไปใช้ยึดบัญชี Okta single sign-on จากนั้นผู้โจมตีก็เคลื่อนย้ายเข้าสู่สภาพแวดล้อม Salesforce และ Snowflake ที่โฮสต์บนคลาวด์ของ McKesson เพื่อดึงข้อมูลออกมา”}},{“@type”:”Question”,”name”:”McKesson ได้จ่ายค่าไถ่ที่แฮ็กเกอร์เรียกร้องหรือไม่?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”McKesson ปฏิเสธที่จะเปิดเผยรายละเอียดเกี่ยวกับการจ่ายค่าไถ่ใดๆ ShinyHunters ระบุว่าได้เรียกค่าไถ่เป็นจำนวนเงิน 55,236,150 ดอลลาร์สหรัฐ พร้อมกำหนดเส้นตาย 72 ชั่วโมง และ McKesson ไม่เคยตอบสนองต่อข้อเรียกร้องดังกล่าว”}}]}
บทความนี้จัดทำขึ้นด้วยความช่วยเหลือของปัญญาประดิษฐ์และผ่านการตรวจทานโดยทีมบรรณาธิการแล้ว
