アボット、2つの別個のサイバー捜査に直面

アボット・ラボラトリーズは、2つの別個のサイバーセキュリティインシデントを調査していることを確認した。これにより、今年すでに恐喝関連のハッキング活動の余波に対処している同社に、新たな不確実性が加わった。ヘルスケアおよび診断の大手である同社は、自社のがん診断事業部門内において、傘下のがん診断企業であるExact Sciencesに属する社内のレガシーシステムへの不正アクセスを発見したと発表した。これとは別に、アボットは、攻撃者が同社のLabCentralポータルに侵入し、企業データを持ち出したという主張についても調査を進めている。

これまでに得られた限定的な詳細によれば、この2つのインシデントは無関係と見られているが、どちらも同じ根本的な現実を示している。すなわち、レガシーシステム、買収した子会社、外部向けポータルといった複雑に広がるネットワークを持つ大規模なヘルスケア組織は、完全に保護することが困難な広範な攻撃対象領域を提示しているということだ。

Exact Sciencesとの関連性

アボットがExact Sciencesのレガシーシステムへの不正アクセスを確認したことは、真空地帯で起きた話ではない。以前の報道では、恐喝グループ「ShinyHunters」が、大腸がんスクリーニング検査「コロガード」で最もよく知られるアボット傘下の診断企業Exact Sciencesへの侵害を主張した経緯が詳述されている。その主張は、がん検診患者に関連する機微な健康データの露出に対する懸念を引き起こした。この種の情報は、悪意のある者の手に渡った場合、重大なプライバシーリスクを伴う。

アボットは以前にも、同じ脅威アクターに関連する、より広範な攻撃の波に対処してきた。ShinyHuntersがOracleの脆弱性を介してアボットとNAICに侵入した方法に関する報道では、がん治療薬の研究事業に関連する混乱が説明されている。これらを総合すると、アボットのがん診断部門および研究部門が、レガシーインフラ、サードパーティ製ソフトウェアの脆弱性、あるいはアボットのセキュリティ管理に完全には統合されていなかった買収企業のシステムを通じて、繰り返し標的にされてきたことを示唆している。

LabCentralの恐喝疑惑が新たな戦線を追加

調査中の2つ目のインシデントには、攻撃者がアボットのLabCentralポータルにアクセスし、企業データを窃取したという主張が含まれており、実行犯は恐喝戦術を用いたと伝えられている。これは、ランサムウェアを即座に展開するのではなく、まずデータを窃取し、その後被害者に支払いを迫るグループに共通するパターンである。アボットはLabCentralを通じて潜在的に露出したデータの範囲を詳細に説明しておらず、調査は進行中である。

この2つ目の主張が注目に値するのは、Exact Sciencesへのアクセスとは別物であるように見える点だ。つまり、アボットは単一の侵害されたシステムからではなく、2つの異なる侵入口からの露出に直面している可能性がある。医薬品、診断、医療機器にまたがって事業を展開する企業にとって、この種の並行的な露出は、部分的に買収を通じて構築された大規模で分散化された組織の周囲に、単一のセキュリティ境界線を引くことの難しさを浮き彫りにしている。

これが意味すること

あなたがコロガードを使用した患者である場合、Exact Sciencesとやり取りしたことがある場合、またはアボット関連システムを通じてラボ結果を処理したことがある場合、完全な詳細が明らかになる前であっても、これらのインシデントは注意を払う価値がある。健康診断データは特に機微である。なぜなら、病歴、スクリーニング結果、個人識別子が明らかになる可能性があり、これらは個人情報窃盗や標的型フィッシングにとって価値があるからだ。

医療従事者、ラボパートナー、またはLabCentralや類似のポータルを利用するベンダーにとって、これは恐喝グループが中核的な企業ネットワークだけでなく、組織をつなぐソフトウェアやアクセスポイントをますます標的にしていることを再認識させるものである。アボットが吸収したExact Sciencesのインフラのように、合併・買収を通じて引き継がれたレガシーシステムは、パッチ適用と監視が遅れがちであり、攻撃者にとって格好の侵入口となる。

実践可能な対策

アボットによる調査が続く中、同社に関係する個人や組織が今すぐ取れる実践的な措置がある。患者や顧客は、オンラインで流布する未検証の主張に頼るのではなく、アボットやExact Sciencesからの公式な侵害通知に注意し、ラボ結果やアカウント詳細に言及する迷惑メールや電話に警戒すべきである。アボット関連の診断サービスを通じてケアを受けたことがある場合、クレジット監視や不正利用アラートを有効にすることは合理的な予防策である。

組織にとって、このインシデントは、買収によるレガシーシステムを古い設定のまま稼働させ続けるのではなく、積極的なセキュリティレビューが必要である理由を示す事例研究である。LabCentralのようなサードパーティ製ポータルを定期的に監査し、多要素認証を実施し、レガシーインフラを中核ネットワークからセグメント化することで、侵害された1つのシステムが、より広範な侵害への足がかりとなる可能性を低減できる。

アボットの2つのサイバーインシデントの範囲について詳細が明らかになるにつれて、どのデータがアクセスされたか（もしあれば）、そして同社がどのような改善措置を講じるかについての最新情報が期待される。それまでは、アボットのデータ侵害状況は、大規模で十分なリソースを持つヘルスケア企業でさえ、レガシーシステムと外部向けポータルが中核インフラと同じ精査で扱われない場合、脆弱なままであることを思い起こさせるものである。