綜合周報

iDentalSoft 遭外洩指控：診所先核對供應商資安責任

專欄作者

發布於 2026 年 11 月 7 日

先講清楚已知與未知

DrBicuspid報導，勒索組織Termite聲稱從加州雲端牙科診所管理軟體商iDentalSoft取得資料。公司尚未公開證實外洩，指控也未經獨立驗證。因此本文使用「遭指控」而不是「已遭駭」；沒有足夠證據判定哪些診所、病人或連接服務實際受影響。 [S1]

依報導引述Medix Dental IT，該組織的外洩網站條目記錄於十月九日，聲稱資料約15GB，範圍包括治療紀錄、身分文件、諮詢錄音與服務憑證。這些是攻擊者主張再經顧問與媒體轉述，不是已驗證的受害清單。本刊未連結、下載或檢查疑似外洩檔，也不據此推斷病人數。 [S1]

報導另提到十月十三日於北加州聯邦地區法院提出的Cronan v. iDentalSoft訴訟，但稱具體指控未公開。訴訟存在的報導本身並不能證明攻擊者所列資料真實，本文也未取得法院原件，不能補寫責任歸屬或已成立的違法結論。 [S1]

報導引述Medix建議，使用平台的診所要求供應商書面回答、調整整合服務憑證與員工密碼、啟用多因素驗證，並檢視business associate agreement。這些是風險管理建議，不表示每一家診所已受害；美國商業夥伴協議的法律背景也不能直接當成台灣契約義務。 [S1]

編輯觀察：可以先盤點使用哪些雲端及整合服務、誰有管理權限、離職帳號是否停用、事故時由誰接收通知。若須輪替憑證，應與供應商協調及驗證相關服務，避免未規劃的變更使看診系統中斷；更不能為了確認新聞而去接觸攻擊者網站或散布病人資料。 [S1]（編輯解讀）

風險盤點與等待查證並不衝突。供應商若回覆沒有事故，也仍應留下書面說明、時間與追蹤窗口；若診所真的發現異常，應保存自身系統證據，請資安及法律專業評估必要處置，而不是把媒體指控當成完整事故調查。 [S1]（編輯解讀）

本次只有公開媒體報導，沒有iDentalSoft正式事故調查、第三方鑑識報告或法院文件。15GB與資料類型全數維持未證實屬性，也未宣稱這是已完成的台灣法遵建議。後續如有公司公告或主管機關資料，應再更新，而非沿用早期攻擊者說法。 [S1]（編輯解讀）