国内最大級のヘルスケア流通企業の一つであるマッケソンは、恐喝グループ「シャイニーハンターズ」が個人識別情報（PII）と保護医療情報（PHI）を含む驚異的な2億8400万件の記録を盗んだと主張した後、データ侵害を受けたことを確認した。この確認は、攻撃者が設定した期限が迫っていると報じられる中で行われ、米国の医薬品および医療供給チェーンの大部分に影響を及ぼす企業にとって、事態の重大性を高めている。

シャイニーハンターズがマッケソンから盗んだと主張するもの

大規模なデータ窃取と恐喝キャンペーンで知られるグループ「シャイニーハンターズ」は、マッケソンのシステムから2億8400万件の記録を流出させたと主張している。同グループは、盗まれたデータには氏名や連絡先などのPIIと、HIPAAなどの規制のもとで特別な法的保護を受ける健康関連データのカテゴリーであるPHIが混在していると述べている。マッケソンは医薬品メーカー、薬局、医療提供者をつなぐ重要な役割を担っているため、同社が扱うデータの範囲は、単一の病院やクリニックのデータではなく、処方箋に関連する患者記録、医薬品供給注文、医療提供者間の通信に及ぶ可能性がある。

主張された取得規模は約3億件に上り、近年のヘルスケア関連データ窃取の主張の中でも最大級のものとなる。確認時点で、マッケソンは侵害が発生したことを認めているが、実際にアクセスされ盗まれたものの全容は、同社の調査を通じてまだ明らかにされていない。

PIIとPHIの窃取が通常の侵害よりも危険な理由

すべてのデータ侵害が同じリスクを伴うわけではないが、PIIとPHIの組み合わせは特に憂慮すべきものである。氏名、住所、電話番号などのPIIだけでも、フィッシングや個人情報窃取の温床となり得る。しかし、そこにPHIが重なると、犯罪者は個人の病歴、処方箋、健康状態に関する情報を得ることができる。この情報は、偽の薬局通知、詐欺的な保険金請求、実際の医療情報を参照して正当に見せかける標的型フィッシングメッセージなど、説得力の高い詐欺を仕掛けるために利用され得る。

また、PHIはパスワードや社会保障番号よりも被害者が変更することが難しい。診断履歴や処方記録は期限切れやリセットがないため、露出した医療データは何年にもわたって悪意のある行為者にとって有用であり続ける可能性がある。これが、ヘルスケアデータがダークウェブ市場で常に高値で取引される理由の一つであり、医薬品流通業者、病院ネットワーク、健康保険会社への侵害が恐喝グループから継続的な注目を集めがちな理由でもある。

マッケソンの確認と恐喝期限の説明

マッケソンの公式確認は、最近のヘルスケア分野の恐喝事件で見られる一般的なパターンに従っている。すなわち、脅威行為者が大規模なデータ窃取を主張し、支払いまたは公開の期限を設定し、標的となった企業が公的な圧力を受けながら検証と封じ込めに取り組むという流れだ。マッケソンが恐喝の膠着状態の中心に立たされたのは今回が初めてではない。同社は以前にも、Rhysidaグループが関与した別の身代金主張で名指しされており、この事件はマッケソンが恐喝主導の攻撃に継続的にさらされていることと、ヘルスケアおよびサプライチェーン企業がこれらのグループから標的にされる広範なパターンを浮き彫りにした。

マッケソンは侵害が発生したことを確認したものの、盗まれたデータの全容を詳述しておらず、シャイニーハンターズが主張する2億8400万件という数字を最終的に検証してもいない。攻撃者の主張と確認された被害の間に食い違いが生じることはこれらの状況では一般的であり、真の規模はフォレンジック調査の後により明確になることが多い。ただし、確認された侵害自体が、マッケソン関連の薬局、医療提供者、供給チャネルと関わりを持ったすべての人にとって警戒を促す十分な理由となる。

患者と薬局の顧客が今取るべき対策

マッケソンの事業はヘルスケアサプライチェーンに根ざしているため、多くの患者は自分のデータが同社のシステムを通過したことに気づいていないかもしれない。マッケソンは患者と直接やり取りするのではなく、薬局や医療提供者の背後で活動することが多いからだ。それでも、取る価値のある具体的な対策はある：

  • 特定の医療情報、処方箋、医療提供者名に言及するフィッシングの試みに注意すること。盗まれたPHIの悪用を示す可能性があるため。
  • 銀行や保険の明細書に、身に覚えのない請求や自分の名義で提出された請求がないか監視すること。
  • 特にシャイニーハンターズが取得したと主張する記録の規模を考慮し、資格情報およびダークウェブ監視サービスの利用を検討すること。
  • 薬局や医療提供者を名乗り、個人情報の「確認」を求める不審な電話やメッセージには注意すること。
  • 調査終了後に具体的な案内が含まれる可能性があるため、マッケソンまたは影響を受けた薬局からの公式通知に注意を払うこと。

あなたへの影響

マッケソンという名前を聞いたことがなくても、同社はヘルスケア流通業者として、あなたのデータが同社が支援する薬局や医療提供者を通じて処理された記録の一部となっている可能性がある。PHIを含むマッケソンのデータ侵害は、病院や保険者だけでなく、ヘルスケアサプライチェーン企業も、その扱うデータの量と機密性から、恐喝グループにとって価値の高い標的であることを思い出させる。マッケソンの調査が完了するまで、医療関連の通信に高い警戒心を持って接することが妥当な予防策である。

マッケソンの侵害は、より広範なトレンドを浮き彫りにしている。攻撃者は、最も目立つ機関だけでなく、ヘルスケアシステムの結合組織を標的にするようになっているのだ。患者にとっての実践的な対応は、どの企業がデータを不適切に扱ったかに関係なく同じである。すなわち、露出を想定し、注意深く監視し、予期しない医療関連の連絡には疑いの目を向けることだ。マッケソンの調査の進展に注目し、同社に対する過去の恐喝未遂事件がどのように展開したかを確認することで、現実世界のリスクを評価し、慌てて反応するのではなく適切に対応することができる。