แฮกข้อมูลคนไข้ สธ. ขอโทษประชาชน เตรียมตั้งศูนย์ตอบโต้สถานการณ์ฉุกเฉิน

วันที่ 7 ก.ย. 2564 นพ.ธงชัย กีรติหัตถยากร รองปลัดกระทรวงสาธารณสุข กล่าวขอโทษประชาชน กรณีมีข้อมูลผู้ป่วยถูกนำมาเผยแพร่ในสื่อออนไลน์ การตรวจสอบพบว่าข้อมูลถูกแฮกเป็นระบบข้อมูลผู้ป่วยของ รพ.ใน จ.เพชรบูรณ์ ที่เจ้าหน้าที่ทำโปรแกรมขึ้นมาใหม่ เพื่ออำนวยความสะดวกในการดูแลคนไข้ ยืนยันข้อมูลที่มีการรั่วไหลทั้งหมดไม่ใช่ข้อมูลหลักในฐานข้อมูลของโรงพยาบาล แต่เป็นเพียงข้อมูลใหม่ที่อยู่ในเซิร์ฟเวอร์เดียวกัน  และไม่กระทบต่อระบบข้อมูลของโรงพยาบาล ยังสามารถใช้งานได้ตามปกติ

โดยพบว่ามีข้อมูลรายชื่อกว่า 10,095 รายชื่อ มีเพียงชื่อ-สกุล เบอร์โทรศัพท์ รายละเอียดวันนัดตรวจ หรือ วันเข้ารับการรักษา สิทธิการรักษา ไม่มีประวัติการรักษา หรือ ข้อมูลโรคแต่อย่างใดนอกจากนั้น เป็นข้อมูลเจ้าหน้าที่แพทย์ พยาบาล 692 ราย สำหรับการจัดตารางเวรการทำงานและข้อมูลการจัดซื้ออุปกรณ์ ค่าใช่จ่ายการผ่าตัด เท่านั้น

ทั้งนี้กระทรวงสาธารณสุข ได้ประสาน กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (ดีอีเอส) ลงพื้นที่ตรวจสอบ และระงับการใช้ข้อมูลในทันทีตั้งแต่วันที 5 กันยายน ที่ผ่านมา และได้แจ้งความเพื่อดำเนินคดีตามกฎหมายกับผู้ก่อเหตุ ซึ่งเท่าที่ทราบ คือ กลุ่มแฮ็กเกอร์ตระเวนทำไปเรื่อยไม่ได้เจาะจง หรือ เลือกเฉพาะข้อมูลของคนไข้โรงพยาบาล

โดยก่อนหน้านี้ พบว่า มีการแฮกข้อมูลระบบการรักษาของ รพ.สระบุรี ซึ่งทำให้ไม่สามารถใช้ระบบได้ และในครั้งนั้น เป็นการแฮกข้อมูลเพื่อเรียกค่าไถ่ แต่ครั้งนี้เป็นการแฮก เพื่อนำเอาข้อมูลไปขายเท่านั้น

ด้าน นพ.อนัน กนกศิลป์ ผู้อำนวยการศูนย์เทคโนโลยีสาระสนเทศและการสื่อสาร ระบุว่า เซิร์ฟเวอร์ที่เกิดปัญหาเป็นส่วนที่แยกออกมาจากเซิร์ฟเวอร์หลักของโรงพยาบาล โดยศูนย์เทคโนโลยีความปลอดภัยทางไซเบอร์ ร่วมกับ ศูนย์ความปลอดภัยทางเทคโนโลยี กระทรวงสาธารณสุข ได้เข้าตรวจสอบระบบทำการปิดระบบและตัดอินเตอร์เน็ตแล้ว

และได้มีการจัดตั้งศูนย์เฝ้าระวังความปลอดภัยข้อมูลทางไซเบอร์ ในภาคสุขภาพ และ หน่วยงานตอบโต้สถานการณ์ฉุกเฉินขึ้นมาเพื่อจัดการปัญหาดังกล่าว เพื่อป้องกันปัญหาที่จะเกิดขึ้นในอนาคต

ขณะที่ นายสุทธิพงษ์ วสุโสภาพล รองเลขาธิการคณะกรรมการสุขภาพแห่งชาติ กล่าวว่า จากกรณีดังกล่าวเห็นได้ชัดเจนว่าอาจทำให้เกิดความเสียหายแก่ผู้ป่วยได้ ดังนั้น การกระทำลักษณะหากมีความเสียหายเกิดขึ้น ในมาตรา 49 มีโทษจำคุกไม่เกิน 6 เดือน หรือ ปรับไม่เกิน 10,000 บาท หรือทั้งจำทั้งปรับ นอกจากนี้ ยังมีกฎหมายอื่น ๆ เกี่ยวข้อง เช่น พ.ร.บ.คอมพิวเตอร์ หรือ พรบ.ข้อมูลข่าวสารส่วนบุคคล