CareCloud、ハッカーによる患者医療記録へのアクセスを確認

ヘルスケア分野のテクノロジー企業であるCareCloudは、ハッカーが患者の医療記録へのアクセスに成功したと報告しており、この侵害は数百万人の個人に影響を与えている。この事件は、データの保存や保護方法についてほとんど発言権を持たない患者の機密な個人情報および医療情報を流出させた、医療データ侵害の増え続けるリストにさらに加わることとなった。

攻撃の経路や侵害データの全容に関する具体的な詳細はいまだ明らかになりつつある段階だが、この侵害は根深い問題を浮き彫りにしている。医療機関は想像し得る中で最も機密性の高い個人データを保有しており、そのことがサイバー犯罪者にとって格好の標的となっているのだ。

医療データがハッカーにとってこれほど価値を持つ理由

医療記録は単なる診断履歴のファイルではない。通常、正式な氏名、生年月日、社会保障番号、保険情報、請求の詳細、連絡先情報が含まれている。多くの場合、これは金融機関が顧客について保有する情報よりも完全な個人プロフィールとなっている。

こうしたデータの組み合わせにより、医療記録は犯罪市場において特に高い価値を持つ。不正使用されたクレジットカード番号はキャンセルして再発行できるが、個人の病歴や社会保障番号は変更することができない。流出による被害は、何年にもわたってその人につきまとう可能性がある。

CareCloudのような医療テクノロジー企業は、複雑なシステムの仲介者として機能し、医療機関、クリニック、そして患者に代わって記録を管理している。そのため、複数の医療提供者のデータを扱うプラットフォームで一度侵害が発生すると、その企業が自分の医療に関わっていることすら知らない患者にも影響が及ぶ可能性がある。

あなたへの影響

CareCloudのプラットフォームを使用している医療機関で診察を受けたことがある場合、あなたの記録がアクセスされた可能性は十分にある。今すぐ取るべき最も重要な対策を以下に示す。

公式通知を確認する。 米国の法律の下、医療データ侵害を経験した企業は影響を受けた個人に通知することが義務付けられている。CareCloudまたはかかりつけの医療機関からの手紙やメールに注意しておこう。侵害に関するものを装った迷惑メールには十分注意されたい。詐欺師はこうした事件を悪用してフィッシング攻撃を仕掛けることが多いためだ。

金融口座と信用情報を監視する。 医療記録には金融情報や個人識別情報が含まれていることが多いため、銀行口座、クレジットカード、信用情報に不審な動きがないか注意を払おう。あなたの名義で新たな口座が開設されるのを防ぐために、主要な信用情報機関への無料のクレジットフリーズ申請を検討することをお勧めする。

健康保険の明細書を確認する。 医療データ侵害に特有のリスクとして、医療なりすまし（メディカルアイデンティティセフト）がある。これは犯罪者が盗んだ保険情報を使って不正請求を行うものだ。受けていない医療サービスが記載されていないか、給付説明書を注意深く確認してほしい。

フィッシングの試みに警戒する。 氏名、連絡先、医療に関する情報を入手した攻撃者は、非常に巧妙なフィッシングメールや電話を作成することができる。たとえ既知の組織からのものに見えても、個人情報の確認やリンクのクリックを求めるいかなる連絡にも懐疑的な姿勢を持つべきだ。

今後はデジタル衛生管理を徹底する。 医療ポータル、患者向けアプリ、保険プラットフォームにオンラインでアクセスする際は、各アカウントに強力なユニークなパスワードを使用し、多要素認証が提供されている場合は必ず有効にしよう。これらの基本的な対策を講じることで、利用している企業が侵害を受けた場合でも、アカウントへの不正アクセスのリスクを大幅に軽減することができる。

医療データ侵害が常態化しつつある

CareCloudの事件は孤立したケースではない。医療分野はここ数年、サイバー攻撃の標的として最も多く狙われるセクターの一つであり続けている。電子カルテの普及により医療連携の効率は高まったが、一方で膨大な量の機密データが、必ずしもセキュリティに十分なリソースが充てられているとは言えないシステムに集中することにもなった。

米国のHIPAAなどの規制フレームワークは、医療データの保護方法に関する基本的な要件を定めているが、コンプライアンスの遵守はセキュリティの確保と同義ではない。病院、保険会社、薬局ネットワーク、そしてそれらにサービスを提供するテクノロジーベンダーにおいて、侵害は依然として発生し続けている。

患者にとっての厳しい現実は、このリスクの大部分が個人の管理の外に存在するということだ。かかりつけ医がどの特定のソフトウェアベンダーを使用するかを選択することはできない。自分でコントロールできるのは、事件が発生したときの対応の仕方と、自分が直接影響を与えられるデジタルフットプリントをいかに慎重に管理するかということだ。

常に情報を把握し、通知が届いたら迅速に行動し、医療アカウントの認証情報をオンラインバンキングと同様の注意を払って管理しよう。医療データは守る価値があり、これらの実践的な対策を講じることで、次の侵害が報道されたときのリスクを大幅に軽減することができる。