供應商帳密遭竊，醫療資訊業者的 API 被用來下載病患資料
原始來源： CM-Alliance · 2026/09/09
醫療資訊業者 Veradigm 表示，未經授權者使用第三方供應商遭竊的憑證存取其 API 並下載病患資料，部分包含社會安全碼，臨床資料未受影響。
發生了什麼
Veradigm 於 9 月 9 日說明，未經授權者使用第三方供應商遭竊的憑證存取其 API，下載病患資料，部分資料包含社會安全碼；公司表示臨床資料未遭存取。
為什麼重要
供應商與合作夥伴的 API 帳號通常權限廣、使用頻率固定，一旦憑證外流，攻擊流量看起來和正常介接幾乎一樣。醫療、金融等高度監管產業的第三方介接數量多，風險特別集中。
建議行動
為每個供應商發給獨立、最小權限且有效期短的憑證；定期檢視第三方帳號實際呼叫的端點與資料量；對非上班時段或數量突增的存取設定告警；合約中明訂憑證保管與外洩通報義務。