Oracle Health 資料外洩擴大到 1,990 萬人：美國史上最大醫療外洩之一
德州檢察總長 10 月 2 日公布的申報文件顯示，Oracle 收購的 Cerner 舊系統遭入侵，全國受影響人數達 19,929,149 人，十倍於最初申報數字。
Oracle Health 的資料外洩案規模遠比早期通知的嚴重。根據 Becker’s Hospital Review 經由公開紀錄請求取得的德州檢察總長申報文件，這起攻擊波及全國 19,929,149 人，其中僅德州居民就達 2,992,244 人。若數字屬實，將是美國史上規模最大的醫療資料外洩事件之一。
入侵始於 2025 年 1 月：被盜憑證打開舊 Cerner 伺服器
申報文件記載，攻擊始於 2025 年 1 月 22 日，Oracle 在 2 月 20 日左右察覺，並於 3 月開始通知受影響的醫療機構客戶。調查發現，攻擊者使用被盜的客戶憑證存取一台舊版伺服器，再把資料複製到遠端主機。涉案系統屬於 Oracle 在 2022 年 6 月以約 283 億美元收購的電子病歷公司 Cerner 的舊基礎設施，收購後以 Oracle Health 之名營運，但部分舊系統尚未遷移到 Oracle 雲端，就成了入侵破口。
受影響的資料類別相當敏感。加州主管機關收到的樣本通知指出，可能外洩的資料包括全名、社會安全號碼、病歷號碼、醫師與診斷資訊、處方藥、檢驗結果、醫療影像，以及治療與照護紀錄。至少 29 家醫院與醫療體系據報受到波及，Oracle Health 目前也面臨相關訴訟。
申報人數一年內膨脹十倍：併購遺留系統的代價
值得注意的是外洩規模的「膨脹史」：2025 年 7 月的初次申報僅列約 200 萬人（含 4,082 名德州居民），2026 年 7 月的補充申報上升到 1,860 萬人，9 月 30 日的最新申報又多了約 140 萬人，最終來到 1,990 萬。Bloomberg 在 10 月 5 日率先披露這個數字。
這起事件給企業併購上了殘酷的一課：收購來的舊系統如果沒有即時盤點與遷移，就會成為資安防線上的盲區。醫療、金融、零售等高度管制產業更是如此——系統整併的進度必須與資料安全治理同步。對台灣的企業來說，當併購與系統整合發生時，資安盤點不能只看新系統，舊系統的帳號權限同樣要納入管理。對門市與連鎖業而言，道理相通：分散在各分店的舊 POS 與會員資料若缺乏統一權限管理，就是潛在的破口，這也是看店勢把權限與資料安全放在產品設計核心的原因。
資料來源
- Becker’s Hospital Review：Oracle Health breach exposed data of nearly 20 million people: Report（2026-10-06）
- Bloomberg：經公開紀錄披露的近 2,000 萬人數字（2026-10-05，先由 Becker’s 引用）
- Fox News：Oracle Health data breach exposes nearly 20 million patients