Biết rõ tên mẹ, tên dự kiến của con và thời điểm xuất viện
Những ngày đầu đón con chào đời, anh Tuấn Nghĩa (tên nhân vật đã được thay đổi) dành phần lớn thời gian tại một bệnh viện để chăm sóc vợ và con trai.
Khi em bé được 4 ngày tuổi, hai mẹ con chuẩn bị xuất viện, vợ anh bất ngờ nhận được cuộc gọi từ một số điện thoại lạ.
Người gọi tự giới thiệu là nhân viên bệnh viện, cho biết sẽ đến tận nhà hướng dẫn gia đình tắm và vệ sinh cho trẻ sơ sinh. Gia đình chỉ cần trả thêm 49.000 đồng chi phí di chuyển.
Điều khiến người mẹ tin tưởng là đối phương đọc chính xác họ tên sản phụ, tên dự kiến của em bé và nắm được thời điểm hai mẹ con sắp xuất viện.
Kẻ gian lợi dụng dữ liệu thai sản, xuất viện để tiếp cận và lừa đảo sản phụ (Ảnh minh họa: AI).
“Vì họ biết khá đầy đủ thông tin nên vợ tôi không nghi ngờ, thậm chí còn gửi cả vị trí nhà ở”, anh Nghĩa kể.
Sau khi nghe vợ thuật lại, anh nhận thấy sự việc có dấu hiệu bất thường. Theo anh, trong gia đình đã có nhiều người sinh con nhưng chưa ai từng nghe nói đến việc bệnh viện chủ động cử nhân viên đến tận nhà hướng dẫn tắm trẻ và thu phí như người gọi điện giới thiệu.
Anh lập tức đến phòng trực của khoa để xác minh.
Theo lời anh Nghĩa, nhân viên trực khẳng định bệnh viện không chủ động gọi điện mời dịch vụ tắm bé tại nhà và cũng không cử người đến gia đình sản phụ theo hình thức trên. Người này cảnh báo gia đình có thể đang gặp một thủ đoạn lừa đảo.
Anh Nghĩa sau đó gọi lại số điện thoại lạ nhưng không có người nghe máy.
Điều khiến anh lo lắng là người lạ đã nắm được thông tin của sản phụ, trẻ sơ sinh, biết gia đình chuẩn bị rời bệnh viện và còn được cung cấp vị trí chính xác của nơi ở.
Người nhà trao đổi với bệnh viện khi phát hiện đối tượng lạ nắm rõ thông tin thai sản (Ảnh minh họa: AI).
Đáng chú ý, thời điểm xảy ra sự việc, em bé chưa được làm giấy khai sinh. Tên của trẻ mới chỉ là tên dự kiến được gia đình điền trong hồ sơ liên quan đến quá trình sinh con.
“Tôi không biết thông tin bị lộ từ đâu, đã qua tay bao nhiêu người và họ còn nắm được những dữ liệu nào khác về gia đình”, anh Nghĩa chia sẻ.
Đánh trúng tâm lý người lần đầu làm cha mẹ
Theo anh Nghĩa, lời mời hướng dẫn tắm bé tại nhà xuất hiện đúng thời điểm vợ chồng anh vừa có con đầu lòng và chưa có nhiều kinh nghiệm chăm sóc trẻ sơ sinh.
Trong giai đoạn này, cha mẹ thường đặc biệt quan tâm đến việc tắm, vệ sinh da và chăm sóc vùng rốn cho trẻ.
“Nếu tắm hoặc vệ sinh không đúng cách, gia đình lo trẻ bị ảnh hưởng, nhất là khi cuống rốn chưa rụng. Người gọi lại biết đúng tên mẹ, tên con và tự nhận là nhân viên bệnh viện nên những người lần đầu làm cha mẹ rất dễ tin”, anh nói.
Nhu cầu được hướng dẫn chăm sóc trẻ sơ sinh là có thật. Tuy nhiên, chính sự lo lắng của gia đình có thể bị lợi dụng để xây dựng những kịch bản mạo danh nhân viên y tế.
Tâm lý lo lắng khi lần đầu chăm con khiến nhiều cha mẹ dễ tin vào lời mời hướng dẫn tắm bé tại nhà (Ảnh minh họa: Getty).
Thay vì chào mời một dịch vụ chung chung, người gọi đưa ra các dữ liệu riêng tư để tạo lòng tin. Khoản phí được đưa ra cũng tương đối nhỏ, không đủ lớn để nạn nhân lập tức cảnh giác.
Tuy nhiên, chưa thể xác định mục đích cuối cùng của người gọi chỉ là thu 49.000 đồng hay hướng đến những bước tiếp theo như yêu cầu kết bạn qua mạng xã hội, truy cập đường dẫn, cung cấp thông tin tài khoản, mã xác thực hoặc chuyển thêm tiền.
Sau sự việc, anh Nghĩa liên hệ với một người bạn đã có con và được biết gia đình này cũng từng nhận những cuộc gọi tương tự.
Dù đã đăng ký tiêm chủng cho con tại một cơ sở, người bạn vẫn được một đơn vị khác gọi điện, đề cập đúng nhu cầu tiêm chủng và mời chuyển sang sử dụng dịch vụ của họ.
Những trường hợp này khiến các gia đình đặt câu hỏi về cách thông tin liên quan đến quá trình sinh con, thời điểm xuất viện và nhu cầu chăm sóc, tiêm chủng của trẻ được thu thập, lưu trữ và chia sẻ.
Việc người lạ nắm đúng nhu cầu tiêm chủng khiến nhiều phụ huynh lo ngại thông tin cá nhân đã bị lộ lọt (Ảnh minh họa: Shutterstock).
Sau khi đưa vợ con về nhà, anh Nghĩa dặn người thân không tiếp tục trò chuyện chỉ vì người gọi đọc đúng tên con, tên cháu.
“Nếu có người gọi mời dịch vụ hoặc đề nghị kết bạn qua Zalo để đăng ký một chương trình nào đó cho trẻ, tôi dặn gia đình phải từ chối. Mọi thông tin cần được xác minh trực tiếp với cơ sở y tế hoặc đơn vị đã đăng ký dịch vụ”, anh cho biết.
Bản thân từng là nạn nhân của một vụ lừa đảo mua bán trên mạng, anh Nghĩa cho rằng người dân rất khó lường trước tất cả kịch bản, đặc biệt khi đối tượng đã nắm được những dữ liệu có độ chính xác cao.
Năm 2020, anh đặt mua một con chuột máy tính được rao bán trong hội nhóm và chuyển trước một phần tiền. Ngày hôm sau, khi đến địa chỉ tại Phú Thọ (Vĩnh Phúc cũ) để nhận hàng, anh mới biết giao dịch đã được dựng lên nhằm chiếm đoạt tiền đặt cọc.
Sau sự việc đó, anh thận trọng hơn khi giao dịch trên mạng. Tuy nhiên, việc người lạ biết thông tin của vợ và đứa con mới sinh vẫn khiến anh bất an.
Dữ liệu y tế trở thành mục tiêu của tấn công mạng
Tại Hội nghị Câu lạc bộ Giám đốc các bệnh viện khu vực phía Bắc, diễn ra vào tháng 5 với chủ đề “Bệnh viện thông minh – Lãnh đạo tiên phong”, Thượng tá Nguyễn Đức Dũng, Phó Trưởng phòng 7, Cục An ninh mạng và Phòng, chống tội phạm sử dụng công nghệ cao (A05), cho biết quá trình chuyển đổi số trong lĩnh vực y tế ngày càng gắn chặt với các hệ thống thông tin và cơ sở dữ liệu.
Theo ông, bệnh viện không chỉ lưu trữ họ tên, số điện thoại, địa chỉ hay giấy tờ định danh của người bệnh. Hệ thống còn có thể chứa lịch sử khám chữa bệnh, kết quả xét nghiệm, chẩn đoán, đơn thuốc và nhiều thông tin có tính riêng tư cao.
Thượng tá Dũng cho rằng an ninh mạng thực chất là cuộc đối đầu liên tục giữa tấn công và phòng thủ.
Các nhóm tin tặc thường xuyên dò quét hệ thống để tìm điểm yếu. Việc chúng có thể xâm nhập hay khai thác được dữ liệu đến mức nào phụ thuộc vào năng lực bảo mật và phòng vệ của từng đơn vị.
“Một hệ thống vẫn đang vận hành bình thường không có nghĩa là hệ thống đó an toàn. Trên thực tế, có nhiều đối tượng liên tục quan sát, rà quét và tìm kiếm sơ hở để tấn công”, ông phân tích.
Vì vậy, theo chuyên gia, quá trình chuyển đổi số trong bệnh viện phải đặt vấn đề an ninh mạng ngay từ giai đoạn đầu, thay vì chỉ xử lý sau khi sự cố xảy ra.
Ông gọi đây là tư duy “phòng thủ chủ động”.
Ngay từ khi thông tin được tạo lập, đơn vị quản lý cần xác định tính chất và mức độ quan trọng của từng nhóm dữ liệu để áp dụng biện pháp bảo vệ phù hợp. Thông tin công khai, dữ liệu cá nhân, tài liệu mật hay bí mật nhà nước không thể được lưu trữ và khai thác theo cùng một cơ chế.
Lĩnh vực y tế trở thành mục tiêu đáng chú ý bởi mỗi hệ thống có thể lưu giữ số lượng lớn hồ sơ khám chữa bệnh. Khi xâm nhập thành công, kẻ tấn công không chỉ tiếp cận thông tin của một cá nhân mà có thể đánh cắp hàng nghìn, hàng trăm nghìn, thậm chí hàng triệu hồ sơ.
Thượng tá Dũng dẫn lại vụ mã độc tống tiền WannaCry tấn công nhiều hệ thống trên thế giới vào tháng 5/2017, trong đó hoạt động tại nhiều cơ sở thuộc Dịch vụ Y tế Quốc gia Anh bị ảnh hưởng. Dữ liệu bị mã hóa, không thể truy cập, khiến việc khám chữa bệnh tại một số nơi bị gián đoạn.
WannaCry từng mã hóa dữ liệu, khiến hoạt động khám chữa bệnh tại nhiều cơ sở y tế ở Anh bị gián đoạn (Ảnh: Getty).
Theo ông, tại Việt Nam cũng từng ghi nhận trường hợp cơ sở y tế bị mã độc tấn công, mất dữ liệu khám chữa bệnh, phải tạm dừng thiết bị và ảnh hưởng đến quá trình tiếp nhận người bệnh.
Cơ quan chuyên môn từng phát hiện một lượng lớn dữ liệu liên quan đến nhân viên y tế bị đăng tải trên không gian mạng. Các tệp này chứa nhiều trường thông tin như họ tên, giới tính, ngày sinh, số căn cước công dân, quê quán, quốc tịch và nơi công tác.
Một số dữ liệu còn bị công khai rao bán trên diễn đàn của tin tặc.
Bên cạnh thông tin của nhân viên y tế, cơ quan chức năng cũng từng ghi nhận trường hợp lịch sử và kết quả khám bệnh của người dân bị lộ.
Theo chuyên gia, khi chưa có kết luận điều tra, không thể quy trách nhiệm cho một cá nhân hoặc đơn vị cụ thể. Tuy nhiên, những sự cố trên cho thấy các cơ sở y tế cần đánh giá nghiêm túc hơn về khả năng bảo vệ hệ thống và dữ liệu.
Những cuộc gọi đến các gia đình vừa sinh con nhỏ đã rời khỏi nơi được cung cấp ban đầu bằng cách nào? Chúng đang nằm trong tay ai? Được sử dụng để tiếp thị, mua bán hay phục vụ những kịch bản lừa đảo nào khác? Và khi chính người cung cấp thông tin không biết dữ liệu của mình đã đi đâu, ai sẽ là người có trách nhiệm trả lời?