製薬大手アムジェンは、患者の健康情報と企業の機密データの両方が流出したデータ侵害を確認し、記録が関与した個人にとってのアムジェンのデータ侵害による患者プライバシーへの影響について新たな懸念が高まっている。同社は、このインシデントがクラウドストレージシステムから発生したものであり、現在影響を受けた個人に通知を行っていると述べているが、ランサムウェアが展開されたかどうかや身代金要求が行われたかどうかなど、いくつかの重要な詳細は未確認のままである。

アムジェンのデータ侵害で何が起こったか

入手可能な詳細によると、脅威アクターがアムジェンの業務に関連するクラウドベースのストレージシステムにアクセスし、患者の保護対象健康情報（PHI）と企業の機密情報が混在する機密データを持ち出した。アムジェンは、個人の健康データが侵害されたことを確認した後、健康データ侵害開示規則で義務付けられている影響を受けた人々への通知プロセスを開始した。

まだ明らかになっておらず、調査担当者が現在も解明に取り組んでいるのは、攻撃者が侵入の一環としてランサムウェアを展開したかどうか、またはアムジェンが盗まれたデータに関連する身代金要求や恐喝の試みを受けたかどうかである。これらは重要な未解決の問題である。単純なデータ窃取事件とランサムウェア主導の恐喝キャンペーンでは、企業と情報が盗まれた患者の両方にとってリスクが異なり、特に盗まれたデータが公開されるのか、販売されるのか、支払いのために保持されるのかという点が重要となる。

医療データ侵害が患者をより大きなリスクにさらす理由

医療侵害は、通常の企業データインシデントよりも長く影響が続く傾向がある。金融口座番号は数日でキャンセルして再発行できる。しかし、診療記録、診断、処方歴、その他のPHIは、単純にリセットできない。一度情報が露出すると、露出したままであり、詐欺的なクレジットカード請求よりも検出が難しい方法で、何年にもわたって患者に対して悪用される可能性がある。

これが、医療機関を非常に魅力的な標的にしている理由である。PHIには、氏名、生年月日、保険詳細、病歴など、個人情報盗難、保険詐欺、そして患者の実際の健康状態に言及して信憑性を高める標的型フィッシング詐欺を可能にするのに十分な情報が含まれていることが多い。そこに、研究、臨床試験情報、内部業務記録などが含まれる可能性のある企業の機密データが加わると、単一の侵害で患者のプライバシーと企業・研究の完全性という複数の面で同時にリスクが生じる可能性がある。

医療分野が頻繁な標的となっているのは、まさにこの二重の価値のためであり、また多くの医療提供者とそのベンダーが、攻撃対象領域を広げる複雑で相互接続されたクラウドシステムに依存しているためである。組織が自動化ツールやAI駆動システムをインフラストラクチャにますます統合するにつれて、攻撃者はこれらの新しいテクノロジーの弱点を古いものと同様に容易に悪用できることを示している。最近の例として、AIエージェントがゼロデイ脆弱性を利用してHugging Faceに侵入した件に関する当社の報道では、攻撃者が組織が依存するまさにその自動化ツールやクラウドツールの悪用へとどれほど迅速に転じるかが示されている。

VPNと暗号化が医療データセキュリティにどのように適合するか

単一のツールで組織レベルの侵害を防ぐことはできないが、暗号化と安全な接続は、システムが侵害された場合の被害を制限するための基盤であり続ける。保存中および転送中の両方で暗号化されたデータは、攻撃者がデータを流出させたとしても、はるかに利用価値が低くなる。医療機関にとってこれは、クラウドシステムに保存されているPHIを暗号化し、内部システム、ベンダー、クラウドプロバイダー間を移動するデータが暗号化され認証されたチャネルを経由することを確実にすることを意味する。

医療ポータルや企業システムにリモートでアクセスする個人の患者や従業員にとっては、VPNと暗号化接続は、特に公共Wi-Fiや個人のデバイスから機密性の高い医療ポータルにアクセスする際に、保護されていないネットワーク上での傍受に対する保護層を追加する。これらは組織自体のセキュリティ慣行の代替にはならないが、転送中のデータが傍受されるリスクを軽減するものであり、アクセス制御、監視、インシデント対応計画を含む、より大きなセキュリティ全体像の一部をなす。

これがあなたにとって意味すること

アムジェンから侵害通知を受け取った、または受け取る可能性がある場合は、インシデントのすべての詳細が確認される前であっても、それを深刻に受け止めてください。まず、通知書を注意深く確認し、どのようなデータが関与したかについての具体的な情報を探してください。保険の明細書や給付説明書に見慣れない請求がないか監視してください。これは医療個人情報盗難の一般的な兆候です。主要な信用調査機関に詐欺警告またはクレジット凍結を設定することを検討してください。盗まれたPHIは、偽の口座を開設するのに十分な個人情報と一緒にまとめられていることが多いためです。アムジェンまたはそのパートナーを装ったフォローアップの連絡、特にリンクのクリックや追加の個人情報の提供を求めるものには注意してください。侵害通知は、二次的なフィッシングキャンペーンを実行する詐欺師によって頻繁に悪用されます。

アムジェンのデータ侵害の全容は、ランサムウェアが役割を果たしたかどうか、または恐喝要求が行われたかどうかを含め、明らかになるまでに時間がかかる可能性があります。その間、このインシデントの影響を受けた患者は、口座の監視、適切な場合はクレジットの凍結、不審な通信への警戒を続けるという、被害を制限するための実践的な手段を講じることができます。医療機関は引き続き攻撃者にとって価値の高い標的であり続けるでしょうが、情報に通じた積極的な患者は、このような侵害が発生した場合に、その影響を察知して制限するはるかに有利な立場にいます。