パートナード・ヘルスの情報漏えい、21のクリニックに影響

Partnered Healthで何が起きたのか

オーストラリアの医療機関Partnered Healthは、全国の20以上のクリニックにまたがる患者データがサイバー攻撃によって侵害されたことを確認しました。このインシデントに関する報道によると、検査結果や診察記録、メディケア情報などの機密性の高い医療情報が露出しました。これは1つのクリニックだけに影響する小さなIT障害ではなく、複数の医療センターに及ぶ組織的な情報流出であり、影響を受ける患者数は数千人に上る可能性があります。

医療機関は、氏名や住所だけでなく、診断内容、治療内容、メディケア番号のような政府発行の識別子など、最も機密性の高い個人データを保有しています。そうした情報が安全なシステムの外に出てしまった場合、企業の評判が傷つくだけでは済みません。記録を盗まれた人々に、現実的かつ持続的なリスクをもたらします。このインシデントの経緯とどの情報がアクセスされたのかをより深く理解するには、Partnered Healthの情報漏えいとダークウェブ上に出回ったメディケアデータに関する当社の以前の報道で、時系列が詳しく説明されています。

医療データの漏えいが特に深刻である理由

盗まれたクレジットカード番号は数分でキャンセルできます。しかし、盗まれたメディケア番号、病理検査結果、診察記録は再発行できません。これこそが、Partnered Healthのデータ漏えいがプライバシー擁護者や患者にとって特に憂慮される理由です。医療記録には、患者が主治医以外と共有するつもりのなかった情報が含まれることがよくあります。精神科の診療記録、慢性疾患の履歴、投薬内容、微妙な検査の結果などです。

こうした種類のデータは、犯罪市場で長期的な価値を持ちます。なりすまし犯罪、保険金詐欺、実際の病歴を引用して正当に見せかける標的型フィッシング詐欺、あるいは特に微妙な診断に関する場合には恐喝にすら使用される可能性があります。銀行が不正利用による損失を負担する金融系の漏えいとは異なり、医療データ漏えいの影響は多くの場合、患者に直接降りかかり、露出した個人の健康情報の結果に対処するために何カ月も、あるいは何年も費やすことになります。

規模も重要です。全国で20以上のクリニックに影響が及んだということは、一元管理された記録システムが侵害されたか、複数拠点に一度に影響を及ぼすサプライチェーンの弱点があったかのいずれかを示唆しています。どちらのシナリオも、同じ根本的な問題を指し示しています。すなわち、医療機関が保有するデータがきわめて価値が高く、多くの拠点に分散された後では保護が難しいからこそ、攻撃者にとってますます魅力的な標的になっているのです。

医療サイバーセキュリティのより大きな構図

このインシデントは、オーストラリア国内および世界でヘルスケア事業者を標的とするサイバー攻撃が増加している傾向に拍車をかけています。クリニックや医療ネットワークは、旧式のシステム、限られたITセキュリティ予算、異なる拠点間でのソフトウェアの寄せ集めで運営されていることが多く、それらが攻撃者の侵入口を生み出し得ます。以前に報じられたように、この漏えいに関連する機密性の高いメディケアデータは、すでにダークウェブ活動に関連する場所に出回っており、盗まれた医療情報が侵害されたサーバーから犯罪者の手に渡る速さを浮き彫りにしています。

Partnered Healthのような組織にとって、今やその対応は漏えいそのものと同じくらい重要です。影響を受けた患者への透明性のある迅速な通知、どのデータが持ち出されたかについての明確な案内、さらに高いリスクにさらされた人々への支援は、この規模のインシデントの後に最低限期待されることです。規制当局やプライバシーコミッショナーは通常、医療機関が速やかに影響を受けた個人に通知し、再発防止のために講じている具体的な措置を明示することを求めています。

あなたにとって意味すること

影響を受けた20以上のクリニックのいずれかで診察を受けたことがある場合は、パニックの理由ではなく、行動を起こすきっかけとして捉えてください。まず、あなたの特定の記録が漏えいに含まれているかどうかを確認する、Partnered Healthからの通知をチェックしましょう。まだ何も連絡を受けていないからといって、自身は影響を受けていないと決めつけないでください。懸念がある場合は、直接、問い合わせてください。

実際の予約日、検査名、クリニックの詳細を引用するフィッシングの試みに警戒してください。盗んだ医療記録を入手した詐欺師は、その真正さを利用して、後続の詐欺の電話やメールをより説得力のあるものにします。あなたのメディケア番号が漏えいデータに含まれていた場合は、メディケアアカウントに関連する不審な動きがないか監視することを検討し、不審な点があれば関係する政府機関に報告してください。

また、あなたのメディケア番号や病歴にどのような他のサービスが紐づいているかを見直すことも有益です。露出した識別子が保険会社や他の医療機関への詐欺に利用されることがあるからです。以前の報道「Partnered Healthのサイバー攻撃後に表面化したメディケアデータ」では、出回っている情報の種類や、これまでに誰が影響を受けたかについてさらに詳しく説明しています。

次のヘルスケア情報漏えいに備える

Partnered Healthのデータ漏えいは、医療記録が金融データと同等かそれ以上の注意を払うに値することを再認識させるものです。患者はクリニックがどのようにサーバーを保護するかをコントロールすることはできませんが、漏えいが公になった時にどれだけ迅速に対応するかはコントロールできます。公式の通知に目を光らせ、自分の病歴に言及する不審な接触に注意し、何か異常があればすぐに報告してください。

医療機関が記録のデジタル化を進め、複数拠点に拡大するにつれ、このような漏えいは今後もニュースの見出しを飾り続ける可能性が高いでしょう。情報を入手し、自分が利用する医療機関からの連絡の真偽を確かめ、漏えい通知が届いたときに迅速に行動することが、被害を抑えるために患者が持つ最善の手段であり続けます。