美國醫療數據外洩飆破紀錄 駭客攻擊致數億人個資外洩 - OwlNews

圖／本報資料庫商傳媒｜康語柔／綜合外電報導美國醫療健康產業正面臨日益嚴峻的數據外洩危機。根據《HIPAAJournal》從美國衛生及公共服務部（DepartmentofHealthandHumanServices,HHS）轄下的HHSOfficeforCivilRights(OCR)取得的數據顯示，自2009年以來，醫療數據外洩事件持續呈現上升趨勢，其中2025年達到新的年度紀錄，通報了772起影響500人以上的重大外洩案。資料指出，2018年至2021年間，數據外洩數量大幅增加一倍，主因是網路犯罪分子積極利用勒索軟體鎖定醫療產業。雖然2022年至2025年間，每年新增外洩案的增幅放緩至約4%，但受影響的個人數量卻在2023年至2024年間飆升了58%，超過2.89億人次。這主要歸因於「超級數據外洩」（即影響超過100萬人的事件）的增加，例如2024年ChangeHealthcare遭到勒索軟體攻擊，導致約1.927億人的資料外洩，成為史上最大規模的醫療數據外洩案。從數據外洩原因來看，遺失或竊盜等事件在2009年至2015年間曾是主導，但隨著數位化進程和加密技術的普及，此類事件已大幅減少。如今，駭客攻擊及其他IT相關事件已成為主要威脅，在2023年佔所有外洩事件的79.7%，並在2025年進一步攀升至八成以上。這類攻擊包含日益頻繁的勒索軟體攻擊和網路釣魚。面對日益嚴峻的挑戰，美國政府也加強了執法力度。HHSOfficeforCivilRights(OCR)負責執行HIPAA（健康保險流通與責任法案，旨在保護患者個人健康資訊的隱私與安全）的相關規定。儘管OCR的預算自2009年以來一直沒有增加，導致案件積壓，但其執法行動在過去14年間穩步上升，2022年更是創下罰款紀錄。OCR正積極推動HIPAA「獲取權」（RightofAccess）的執法倡議，並將風險分析措施擴展至風險管理。此外，聯邦貿易委員會（FederalTradeCommission,FTC）自2021年起也表態將積極執行其健康數據外洩通知規則，對不當揭露健康資訊的公司處以罰款，例如Cerebral在2023年支付了710萬美元的和解金。專家強調，醫療數據在外洩市場上的價值更高，因為詐欺行為更難被發現。因此，對受保護健康資訊（ProtectedHealthInformation,PHI）進行加密是最有效的防護策略。同時，對於與醫療機構合作的業務夥伴進行盡職調查，並確保供應鏈安全，對於防範數據外洩至關重要。參考來源HealthcareDataBreachStatistics（TheHIPAAJournal）