医療テック企業、長期の不正アクセスを確認

医療提供者に電子カルテサービスを提供するCareCloud社は、今年初めに発生した侵害で医療データが盗まれたことを、数十万人の患者に正式に通知し始めた。同社によると、ハッカーは3月10日から3月16日までの少なくとも6日間、同社の電子カルテデータストアの1つにアクセスし、その後侵入が検知され封じ込められたという。

今回の通知はインシデント発生から数か月後に行われた。医療分野の侵害では、企業が不正アクセスの範囲を調査し、フォレンジック調査員と協力し、影響を受けた個人に連絡する前に法的通知を準備する時間が必要となるため、このようなタイムラグは一般的だ。しかし患者にとっては、この遅れにより、自分が知らされるよりもはるか前から個人の健康情報が流出したり、リスクにさらされたりしていた可能性があることを意味する。

異例の展開：証拠を共有したハッカー

今回のインシデントが他の多くの医療侵害と異なるのは、攻撃者がCareCloud社に接近した方法だ。同社によると、ハッカーが侵入の犯行声明を出し、注目すべきことに、身代金要求とともに盗んだデータのサンプルを同社に直接共有し、情報をオンラインで公開するのを防ぐよう要求したという。データサンプルを交渉材料として共有するのは、ランサムウェアや恐喝行為者の標準的な手口ではない。彼らは通常、事前に証拠を提示せずに盗んだファイルを公開すると脅迫する。今回の詳細は、攻撃者が素早く信憑性を確立し、長期の交渉をリスクにさらすよりも、CareCloud社に支払いを迫ろうとした可能性を示唆している。

それにもかかわらず、確立されたランサムウェアグループや恐喝組織がこの侵害に対して公に犯行声明を出したことはない。このような不明瞭さは現在の脅威情勢では珍しくない。単独犯や小規模グループ、あるいは認知されたランサムウェアブランド外で活動するアフィリエイトが、大規模なサイバー犯罪組織が通常使うリークサイトで犯行声明を出さずに攻撃を実行するケースが増えている。犯行声明が出ていないことは、必ずしも情報流出の深刻度を減らすわけではない。単に原因の特定や監視が、捜査当局や影響を受けた患者にとってより困難になるだけだ。

今回の通知は、今年に入ってからの以前の開示に続くものだ。その際、CareCloud社はハッカーが同様の大規模なセキュリティインシデントに関連して患者の医療記録にアクセスしたことを確認した。数十万人への通知開始は、この開示プロセスの次の段階であり、同社はどのデータが誰のものに影響し、どのカテゴリーの情報が流出したのか、詳細を精査している最中だ。

医療データ侵害のリスクがとりわけ大きい理由

電子カルテには通常、氏名、生年月日、社会保障番号、保険情報、診断や治療歴、場合によっては請求や財務データなど、非常に機密性の高い情報が混在している。パスワードが漏洩した場合と異なり、この種の情報は単純にリセットできない。医療IDの盗難、保険詐欺、標的型フィッシングキャンペーンは、こうしたデータが悪意のある者の手に渡った場合に現実的に起こりうる結果であり、その影響は元の侵害から数か月、あるいは数年後に表面化することもある。

CareCloud社のような医療テクノロジーベンダーは、その立場が特に機密性が高い。なぜなら、複数の医療提供組織に代わってデータを処理・保管しているため、一つのベンダーで発生した侵害が、侵害された企業とは直接やりとりのない多数の診療所や病院システムの患者にまで波及する可能性があるからだ。以前に報じられたように、CareCloud社の情報流出の規模は、同社の顧客基盤全体で数百万件の患者記録に影響を及ぼしており、これほど多くの医療データが少数のテクノロジーベンダーを経由することで、いかにリスクが集中するかを浮き彫りにしている。

これがあなたにとって意味すること

もしCareCloud社からの通知書簡を受け取ったか、または今後受け取った場合は、たとえ文章が定型的に思えても、真剣に受け止めてほしい。書簡を注意深く読み、自分の情報のうちどのカテゴリーが影響を受けたのかを正確に理解しよう。なぜなら、通知を受けたすべての人が同じデータを流出させたわけではないからだ。社会保障番号や保険識別子が含まれていた場合は、主要な信用調査機関に詐欺警戒アラートやクレジットの凍結を設定することを検討しよう。見覚えのない医療サービスがないか、保険請求書や医療費明細書を注意深く確認しよう。医療IDの盗難は、標準的な金融詐欺よりも発見が難しい場合があるからだ。CareCloud社やあなたの医療提供者を名乗り、個人情報の確認を求めてくる追跡のメール、電話、テキストには注意が必要だ。侵害通知は、フィッシングキャンペーンを仕掛ける詐欺師に悪用されることが頻繁にある。

主なポイント

CareCloud社の通知プロセスは、医療データ侵害がしばしば段階的に展開することを思い起こさせる。最初の侵入、調査、そして最終的な通知が数か月にわたって分離される。今回のインシデントの影響を受けた患者は、通知書簡を注意深く確認し、提供されていればクレジット監視サービスに加入し、自分の病歴や保険情報に言及した不審な連絡に対して警戒を怠らないようにすべきだ。医療機関が機密記録の管理をサードパーティのテクノロジーベンダーに依存し続ける中、このような事案は、企業と患者の双方による警戒が、侵害が最初に検知された後も長期間にわたって不可欠である理由を浮き彫りにしている。