Raksasa rekam medis Epic menghentikan sebagian besar pengembangan produknya untuk menambal celah keamanan yang ditemukan model AI Mythos milik Anthropic. Sejumlah konfigurasi MyChart disebut bisa membuka akses ke catatan pasien tanpa meninggalkan jejak di log sistem.
Epic, perusahaan teknologi raksasa di balik perangkat lunak rekam medis MyChart yang dipakai luas di Amerika Serikat, memutuskan menghentikan sementara sebagian besar kegiatan pengembangan produknya. Langkah itu ditempuh untuk memperkuat perlindungan perangkat lunak dan sistem perusahaan dari serangan siber yang berpotensi membahayakan data pasien.
Pendiri sekaligus Chief Executive Epic, Judy Faulkner, kepada Modern Healthcare bulan lalu menyebut masa jeda tersebut kemungkinan berlangsung sekitar enam pekan. Selama periode itu, perusahaan memusatkan sumber daya pada upaya pengamanan produk setelah penerapan model keamanan siber canggih milik Anthropic, Mythos, menemukan sejumlah kelemahan yang dapat membuka akses terhadap data pasien.
Epic belum mengungkap secara terperinci sifat celah keamanan yang ditemukan. Namun Chief Security Officer perusahaan, Stirling Martin, kepada The New York Times mengatakan sejumlah konfigurasi pelanggan pada MyChart memungkinkan pihak luar mengakses catatan pasien tanpa meninggalkan jejak apa pun di log perangkat lunak.
Potensi akses tanpa jejak
Martin menjelaskan model AI tersebut tidak menyatakan apakah celah itu dapat dimanfaatkan untuk mengubah catatan pasien tanpa terdeteksi. Meski demikian, ia menilai risikonya sudah cukup besar sehingga perbaikan perlu segera dilakukan. Martin tidak memenuhi permintaan komentar yang diajukan TechCrunch terkait persoalan ini.
MyChart sendiri menyimpan lebih dari 320 juta rekam pasien yang tersebar di rumah sakit dan praktik dokter di seluruh Amerika Serikat. Epic menegaskan tidak memiliki akses ke data medis pelanggannya karena tanggung jawab penyimpanan berada di tangan penyedia layanan kesehatan, seperti rumah sakit dan klinik.
Meski begitu, celah yang tidak diketahui Epic berpotensi dimanfaatkan penyerang untuk menembus banyak sistem MyChart yang terdampak di berbagai wilayah Amerika Serikat sekaligus menguras data yang tersimpan di dalamnya. Kondisi itu menjadikan perbaikan menyeluruh sebagai prioritas sebelum pengembangan fitur baru dilanjutkan.
Sektor kesehatan kian jadi sasaran
Keputusan menghentikan pengembangan produk demi menambal bug keamanan tergolong jarang dilakukan perusahaan teknologi. Namun kehadiran alat berbasis kecerdasan buatan yang mampu menemukan dan memanfaatkan kerentanan secara cepat memunculkan kekhawatiran bahwa penyerang akan lebih mudah mencuri data dalam jumlah besar.
Kebocoran data di sektor kesehatan memang semakin sering terjadi karena pelaku berasumsi penyedia layanan bersedia membayar agar informasi sensitif tidak dipublikasikan. Serangan ransomware pada 2024 terhadap Change Healthcare, perusahaan teknologi kesehatan milik raksasa asuransi UnitedHealth yang menangani pembayaran dan penagihan bagi sebagian besar warga Amerika Serikat, membuat peretas menguasai data kesehatan lebih dari 192 juta orang. Perusahaan itu membayar penyerang dua kali agar data curian tidak disebarkan.
Tahun ini, rangkaian insiden kebocoran data di perusahaan kesehatan dan teknologi beruntun terjadi dan berdampak pada puluhan juta warga Amerika Serikat. Insiden itu mencakup pencurian rekam medis pada CareCloud, jutaan baris data pasien dari distributor farmasi McKesson, serta sejumlah data tak disebutkan jumlahnya dari perusahaan teknologi kesehatan asal Inggris, Craneware, yang perangkat lunaknya dipakai di Amerika Utara.
Departemen Kesehatan dan Layanan Kemanusiaan Amerika Serikat (HHS) saat ini mencatat insiden pada perusahaan asuransi gigi DentaQuest yang berdampak pada 15 juta orang sebagai kebocoran data terkait kesehatan terbesar sepanjang 2026. Daftar itu memperlihatkan bahwa tekanan terhadap industri kesehatan untuk memperketat pertahanan siber terus meningkat.
- Epic menghentikan sebagian besar pengembangan produk selama sekitar enam pekan untuk menambal celah keamanan.
- Temuan model AI Mythos milik Anthropic disebut membuka risiko akses ke catatan pasien tanpa jejak di log.
- MyChart menyimpan lebih dari 320 juta rekam pasien di Amerika Serikat.
- Serangan siber terhadap sektor kesehatan terus meningkat, termasuk insiden Change Healthcare yang berdampak pada 192 juta orang.
Penghentian sementara pengembangan produk juga memberi sinyal bahwa perusahaan penyedia infrastruktur data kesehatan kini menghadapi tekanan ganda. Di satu sisi mereka dituntut terus berinovasi, di sisi lain mereka harus memastikan tidak ada celah yang bisa dipakai pihak tak berwenang untuk menembus rekam medis. Bagi rumah sakit dan klinik pengguna MyChart, masa jeda ini menjadi pengingat bahwa konfigurasi sistem yang mereka jalankan turut menentukan tingkat keamanan data pasien.
Epic menyatakan tanggung jawab atas perlindungan data medis tetap berada di tangan penyedia layanan kesehatan. Karena itu, hasil perbaikan yang dilakukan perusahaan perlu diikuti penyesuaian di sisi pengguna agar risiko akses ilegal terhadap rekam pasien bisa ditekan seoptimal mungkin.
Baca juga: Model AI dan Tantangan Baru Keamanan Data di Sektor Kesehatan
