醫療資料的「側門」：Hims & Hers 資安事件的真正警示

「醫療紀錄沒有外洩」——這句話，真的足以讓你放心嗎？

2025年2月4日至7日，遠距醫療公司 Hims & Hers 的第三方客戶服務平台遭到駭客入侵。被竊取的，是用戶向客服團隊提交的支援請求內容——也就是「客服工單」。該公司已向加州司法部長辦公室提交資料外洩通知，確認客戶姓名、聯絡方式，以及其他未具體說明的個人資料遭到竊取（通知中部分內容已被塗黑處理）。

Hims & Hers 是一家在線銷售減重藥物（包括GLP-1受體促效劑）及性健康處方藥的遠距醫療企業。換句話說，曾向該公司客服提問的用戶，其體重困擾、性健康諮詢等高度敏感的個人資訊，可能已落入陌生人手中。

「醫療紀錄無虞」的語言陷阱

公司發言人 Jake Martin 向 TechCrunch 表示，此次攻擊是透過社交工程手法進行的——駭客誘騙員工，取得系統存取權限。他說，被竊資料「主要是客戶姓名與電子郵件地址」。

然而，這裡有一個關鍵盲點。客服工單系統，是一個與正式電子病歷平行存在的資訊庫。用戶在這裡留下的，是「我對這個藥物有疑問」、「我想調整處方」、「帳單出了問題」這類對話——雖然不是正式的醫療紀錄，卻清楚地勾勒出一個人的健康輪廓。

目前受影響的客戶人數尚不明確。根據加州法律，若資料外洩涉及 500名以上加州居民，企業必須主動揭露。此次通知的提交，意味著受害人數至少已達此門檻。公司也拒絕回應是否收到駭客的勒索要求。

為什麼客服系統成了駭客的新目標？

廣告

廣告合作

[email protected]

廣告

這起事件並非偶發。近年來，以財務為動機的駭客組織，正系統性地將目標從企業核心系統轉向安全防護相對薄弱的第三方客服工具。這些工具往往由外部供應商提供，卻儲存著企業與客戶之間最真實、最原始的互動紀錄。

去年，社群平台 Discord 也遭遇類似攻擊，客服工單系統外洩了約 7萬人提交用於年齡驗證的駕照與護照資訊。攻擊者利用這些資料向企業施壓，索取贖金。這種模式正在快速複製。

大型企業往往對核心系統投入大量資安資源，卻忽略了外部供應商工具的安全審查。而這些工具，恰恰儲存著最貼近用戶生活的資料。

對亞洲健康科技市場的啟示

這起事件對亞洲市場同樣具有高度參考價值。台灣、香港、新加坡及東南亞各地的遠距醫療平台正快速發展，許多新創企業為了降低成本、加快部署，大量採用第三方客服工具（如 Zendesk、Intercom 等）。這些平台的資安審查機制是否跟上了業務擴張的速度，值得深思。

在中國大陸，遠距醫療受到更嚴格的監管，平安好醫生、丁香園等平台的資料通常儲存於境內，並受《個人信息保護法》（PIPL）約束。理論上，這種集中管控模式對第三方工具的依賴程度較低，但也並非沒有資安漏洞——只是攻擊路徑不同。

對於台灣及其他地區的華人用戶而言，更現實的問題是：當你向一個健康科技平台的客服提問時，你的資訊究竟存放在哪裡？由哪家公司管理？受哪個國家的法律保護？這些問題，大多數人從未想過要問。

資安不是「有沒有防火牆」的問題

這起事件也再次提醒業界，資安防護不能只看「正面入口」。社交工程攻擊的成功，往往不是因為技術防線被突破，而是因為人的判斷出了問題。駭客透過偽裝、誘騙，讓員工主動開了門。

這意味著，再先進的加密技術，若沒有配套的員工訓練與存取權限管理，都可能形同虛設。對於快速擴張的健康科技企業而言，這是一個成長代價——但代價不應由用戶來承擔。