Rumah Sakit Prancis Didenda €500.000 Setelah Kebocoran Data Mengungkap Informasi 727.000 Orang
Otoritas perlindungan data Prancis, CNIL, menjatuhkan denda sebesar €500.000 (sekitar US$580.000) kepada Hôpital privé de la Loire (HPL) karena dinilai gagal melindungi data pasien dan pihak terkait secara memadai.
Kegagalan keamanan tersebut berujung pada insiden kebocoran data pada musim panas 2025 yang mengekspos informasi milik 727.113 orang. Dari jumlah tersebut, sebanyak 524.867 merupakan pasien, sementara 202.246 lainnya adalah pihak yang ditunjuk sebagai trusted third parties, seperti orang yang mendampingi atau membantu pasien.
Hôpital privé de la Loire merupakan rumah sakit umum di Saint-Étienne yang berada di bawah grup layanan kesehatan Ramsay Santé. Rumah sakit ini menyediakan layanan medis, bedah, maternitas, kanker, perawatan intensif, hingga layanan gawat darurat.
Peretas Berhasil Mengakses Sistem Rekam Medis
Insiden terjadi ketika seorang penyerang berhasil memperoleh akses ke sistem rekam medis elektronik milik rumah sakit.
Dari sistem tersebut, penyerang dapat mengambil data sensitif milik lebih dari 727.000 orang yang pernah menerima layanan kesehatan di HPL, mendampingi pasien, atau memberikan bantuan kepada pasien.
CNIL kemudian melakukan penyelidikan untuk mengetahui bagaimana serangan dapat terjadi dan mengapa aktivitas penyerang dapat berlangsung tanpa segera terdeteksi.
Hasil investigasi menemukan sejumlah kelemahan dalam penerapan keamanan informasi dan perlindungan data yang menjadi tanggung jawab rumah sakit berdasarkan General Data Protection Regulation (GDPR).
Akses dari Luar Rumah Sakit Tidak Menggunakan MFA
Salah satu masalah utama yang ditemukan CNIL adalah pengguna eksternal, termasuk dokter yang menjalankan praktik pribadi, dapat mengakses sistem rumah sakit tanpa harus menggunakan VPN maupun multi-factor authentication (MFA).
Kondisi tersebut meningkatkan risiko karena akun eksternal yang berhasil diambil alih dapat digunakan untuk masuk ke lingkungan internal tanpa lapisan autentikasi tambahan.
Dalam kasus ini, akun yang berhasil dikompromikan memiliki akses yang terlalu luas terhadap sistem rekam medis.
Kontrol akses yang diterapkan rumah sakit tidak cukup membatasi akun tersebut, sehingga penyerang dapat mengakses data pasien dalam jumlah sangat besar.
Aktivitas Penyerang Tidak Terdeteksi Selama Berhari-hari
CNIL juga menemukan bahwa HPL tidak memiliki sistem monitoring dan alerting secara real-time atau mendekati real-time yang memadai.
Kelemahan tersebut memungkinkan penyerang menjelajahi sistem dan mengekstrak data dalam jumlah besar selama beberapa hari tanpa terdeteksi.
Dalam insiden seperti ini, aktivitas pengambilan data dalam volume besar seharusnya dapat menjadi indikator penting adanya kompromi akun atau perilaku mencurigakan.
Kurangnya kemampuan mendeteksi aktivitas tersebut menjadi salah satu faktor yang membuat dampak kebocoran data menjadi sangat besar.
Lebih dari 200.000 Trusted Third Parties Tidak Diberi Tahu Langsung
Masalah lainnya berkaitan dengan kewajiban pemberitahuan kepada individu yang datanya ikut terdampak.
Rumah sakit memang telah memberi tahu pasien yang terkena dampak insiden. Namun, CNIL menemukan bahwa 202.246 trusted third parties yang datanya juga dicuri tidak diberi pemberitahuan secara langsung.
CNIL mengaitkan sejumlah pelanggaran tersebut dengan Pasal 32 dan Pasal 34 GDPR, yang masing-masing berkaitan dengan keamanan pemrosesan data pribadi dan pemberitahuan mengenai pelanggaran data pribadi.
CNIL juga mencatat bahwa HPL telah mengambil sejumlah langkah untuk memperkuat keamanan selama proses pemeriksaan berlangsung.
Hacker Remaja Mengaku Bertanggung Jawab
Pada saat serangan terjadi, seorang hacker remaja yang menggunakan alias “Marak” mengklaim bertanggung jawab atas pembobolan tersebut.
Pelaku menghubungi media Prancis melalui Telegram dan mengklaim bahwa serangan bermula dari kompromi terhadap satu akun dokter.
Menurut klaim tersebut, akses terhadap satu akun kemudian memberikan jalan menuju sistem internal HPL secara lebih luas.
Data yang dicuri sempat ditawarkan kepada satu calon pembeli dengan harga antara €2.000 hingga €5.000.
Namun, laporan selanjutnya menyebutkan bahwa data tersebut pada akhirnya tidak dijual maupun dipublikasikan.
Terlepas dari apakah data benar-benar diperdagangkan, insiden tersebut menunjukkan bagaimana kompromi terhadap satu akun dengan hak akses terlalu luas dapat berkembang menjadi kebocoran data dalam skala besar.
Denda Menjadi Peringatan bagi Sektor Kesehatan
Denda €500.000 yang dijatuhkan CNIL menyoroti pentingnya penerapan kontrol keamanan yang lebih ketat pada sistem kesehatan.
Rumah sakit dan organisasi kesehatan menyimpan berbagai jenis informasi sensitif, sehingga kompromi terhadap satu akun tidak seharusnya memberikan akses luas terhadap seluruh database pasien.
Penerapan MFA, VPN untuk akses eksternal, prinsip least privilege, segmentasi akses, serta monitoring aktivitas secara real-time menjadi lapisan penting untuk membatasi dampak ketika kredensial pengguna berhasil dicuri.
Kasus HPL juga menunjukkan bahwa kewajiban perlindungan data berdasarkan GDPR tidak hanya berkaitan dengan mencegah serangan, tetapi juga kemampuan organisasi mendeteksi aktivitas mencurigakan dan memberi tahu seluruh pihak yang terdampak ketika terjadi kebocoran data.
Sumber: CNIL
