Kẻ giả danh nhân viên vào phòng hồ sơ bệnh án, lấy dữ liệu y tế nhạy cảm
"A red teamer described how weak physical access controls at a hospital allowed him to socially engineer entry into a records room and retrieve a private patient file. He also reported broader hospital network hygiene issues, including guest Wi‑Fi and critical medical devices sharing VLAN 1 and transmitting patient data and PII unencrypted, exposing sensitive information to interception."
Nguy cơ rò rỉ dữ liệu y tế nghiêm trọng do kết hợp vượt kiểm soát vật lý và cấu hình mạng kém; điểm then chốt gồm PII không mã hóa trên mạng dùng chung và truy cập trái phép phòng hồ sơ.
Có thể gây gián đoạn vận hành và tăng chi phí tuân thủ/điều tra khi xảy ra rò rỉ dữ liệu; rủi ro tập trung vào mất dữ liệu bệnh nhân và tổn thất niềm tin từ sự cố an ninh.
Một bài tường thuật từ nhóm red team cho thấy kiểm soát truy cập vật lý tại bệnh viện còn yếu có thể bị vượt qua bằng social engineering. Trong bài thử nghiệm, Dahvid Schloss được thuê để đánh giá an ninh và tìm cách lấy một tệp hồ sơ bệnh án cụ thể trong phòng lưu trữ. Phòng này có khóa điện tử và một y tá trực làm “cổng” kiểm soát, nhưng kẻ tấn công vẫn tiếp cận được.
Theo mô tả, Schloss không chọn các phương án như bẻ khóa hay sao chép thẻ, mà mặc scrubs phù hợp, tạo badge giả và tiếp cận y tá. Khi thẻ không quét được, hắn chuyển sang thuyết phục trực tiếp bằng câu chuyện nhắm vào bác sĩ có tên thật trong bệnh viện, khiến y tá mở cửa và cho vào.
Ngoài sự cố truy cập vật lý, bài viết nêu thêm vấn đề vệ sinh mạng: guest Wi‑Fi và các thiết bị y tế quan trọng cùng nằm trên VLAN 1, dữ liệu từ thiết bị như MRI được truy cập dễ dàng và thường không được mã hóa, dẫn đến nguy cơ lộ PII và thông tin bệnh nhân qua mạng nội bộ.