美國醫療產業面臨嚴峻的數據外洩危機，駭客攻擊成為主要原因，導致外洩事件數量和受影響人數屢創新高，僅 2024 年 Change Healthcare 一起事件就造成近 2 億人個資外洩。
美國醫療健康產業正面臨日益嚴峻的數據外洩危機。根據《HIPAA Journal》從美國衛生及公共服務部（Department of Health and Human Services, HHS）轄下的 HHS Office for Civil Rights (OCR) 取得的數據顯示，自 2009 年以來，醫療數據外洩事件持續呈現上升趨勢，其中 2025 年達到新的年度紀錄，通報了 772 起影響 500 人以上的重大外洩案。
資料指出，2018 年至 2021 年間，數據外洩數量大幅增加一倍，主因是網路犯罪分子積極利用勒索軟體鎖定醫療產業。雖然 2022 年至 2025 年間，每年新增外洩案的增幅放緩至約 4%，但受影響的個人數量卻在 2023 年至 2024 年間飆升了 58%，超過 2.89 億人次。這主要歸因於「超級數據外洩」（即影響超過 100 萬人的事件）的增加，例如 2024 年 Change Healthcare 遭到勒索軟體攻擊，導致約 1.927 億人的資料外洩，成為史上最大規模的醫療數據外洩案。
從數據外洩原因來看，遺失或竊盜等事件在 2009 年至 2015 年間曾是主導，但隨著數位化進程和加密技術的普及，此類事件已大幅減少。如今，駭客攻擊及其他 IT 相關事件已成為主要威脅，在 2023 年佔所有外洩事件的 79.7%，並在 2025 年進一步攀升至八成以上。這類攻擊包含日益頻繁的勒索軟體攻擊和網路釣魚。
面對日益嚴峻的挑戰，美國政府也加強了執法力度。HHS Office for Civil Rights (OCR) 負責執行 HIPAA（健康保險流通與責任法案，旨在保護患者個人健康資訊的隱私與安全）的相關規定。儘管 OCR 的預算自 2009 年以來一直沒有增加，導致案件積壓，但其執法行動在過去 14 年間穩步上升，2022 年更是創下罰款紀錄。OCR 正積極推動 HIPAA「獲取權」（Right of Access）的執法倡議，並將風險分析措施擴展至風險管理。此外，聯邦貿易委員會（Federal Trade Commission, FTC）自 2021 年起也表態將積極執行其健康數據外洩通知規則，對不當揭露健康資訊的公司處以罰款，例如 Cerebral 在 2023 年支付了 710 萬美元的和解金。
專家強調，醫療數據在外洩市場上的價值更高，因為詐欺行為更難被發現。因此，對受保護健康資訊（Protected Health Information, PHI）進行加密是最有效的防護策略。同時，對於與醫療機構合作的業務夥伴進行盡職調查，並確保供應鏈安全，對於防範數據外洩至關重要。
參考來源
- Healthcare Data Breach Statistics（The HIPAA Journal）