Quest Diagnosticsは規制当局に対し、権限のない第三者が同社のシステムの一つにアクセスし、「特定の患者記録」が影響を受けた可能性があると伝えた。SecurityWeekが報じた規制当局への提出書類で明らかになったこの開示は、特定の顧客が検査の注文を行うプラットフォームであるQuanum Lab Services Managerに焦点を当てている。詳細はまだ限られているが、Quest Diagnosticsのデータ侵害における患者記録の話は、米国で血液検査やその他の臨床検査を受けたことがある人にとって有用な教訓をすでに提供している。

QuestがQuanum侵害について開示したこと

報道によると、Quest Diagnosticsは規制当局への提出書類の中で、Quanum Lab Services Managerへの不正アクセスを報告した。このプラットフォームは特定の顧客、つまり医療提供者や同様の組織が検査の注文を行うために使用されている。ほとんどの患者が自分でログインするような消費者向けアプリではない。

同社は、特定の患者記録が関与していると考えていると述べた。提出書類の報道はまた、全容が依然として調査中であることも示している。この件について流通しているソーシャルメディアの投稿の中には、どの種類のデータが流出したかについてより広範な主張をしているものもある。提出書類自体は一般的な表現でのみ記述されているため、Questまたは規制当局がより詳細を公表するまでは、そうした主張は慎重に扱うべきである。

確実に言えることは限られている。顧客向けの注文プラットフォームが権限なくアクセスされ、一部の患者記録が影響を受けたと考えられており、調査が進行中である。読者は、同社がより多くのことを把握するにつれて状況が変わることを予想すべきである。

なぜ検査注文プラットフォームが医療プライバシーの弱点となるのか

ほとんどの人は検査機関を単一の組織と考える。実際には、検査には一連の関係者が関わる。かかりつけ医の診療所、検査機関、請求システム、そしてそれらをつなぐソフトウェアである。Quanumのようなポータルは、外部の顧客が注文を送り情報を受け取れるようにするために存在しており、つまり設計上患者の詳細を保持し、多くの場所から多くのユーザーがアクセスできる。

この組み合わせがリスクを生む。接続された各顧客は、標的になり得る別の認証情報、デバイス、スタッフの集合体である。多くの組織にまたがる利便性のために構築されたシステムは、攻撃者にとって貴重な単一のアクセスポイントでもある。あなたはそのプラットフォームを聞いたことがないかもしれないが、医療提供者が特定の検査機関を選んだという理由だけで、あなたの記録がそこを通過することがある。

これが、患者が侵害をしばしば間接的に知る理由でもある。あなたが直接対応した組織が侵害された組織ではない可能性があるため、見覚えのない企業から通知が届くことがある。

これがあなたにとって何を意味するか

Quest Diagnosticsを直接または医師を通じて利用したことがある場合、実用的なメッセージは慌てるのではなく警戒を続けることである。すべての患者が影響を受けているわけではなく、同社は流出したデータの完全なリストを公表していない。

今すぐすべきことは以下のとおりである。

  • 通知書が郵便やメールで届かないか注意する。 個人情報に影響する侵害を経験した組織は、一般的に関係者に通知することが求められる。通知を注意深く読み、コピーを保管しておくこと。
  • 信用情報の凍結を検討する。 凍結は無料で、他人があなたの名前で新しい信用を開設する能力を制限する。通知に識別情報が関与したと記載されている場合、賢明な予防策である。
  • 健康に関する予期しないメッセージには懐疑的になる。 検査結果、請求、または「記録の確認」に言及するテキスト、電話、メールはフィッシングの試みである可能性がある。メッセージに記載された番号やウェブサイトではなく、自分で見つけた電話番号やウェブサイトを使ってQuestまたは医療提供者に連絡すること。
  • アカウントと明細を確認する。 銀行、保険、健康ポータルの活動に不審なものがないか確認し、問題があれば速やかに報告する。
  • ログインを強化する。 患者ポータル、メール、金融アカウントには固有のパスワードと多要素認証を使用する。

侵害後に盗まれた健康データがどのように使用されるか

医療情報は、身元の詳細と機密性の高い文脈を組み合わせているため魅力的である。犯罪者はこれを使って、実在の医療提供者や実際の検査に言及した説得力のあるフィッシングメッセージを作成でき、人々がクリックしたりより多くの情報を共有したりする可能性が高くなる。身元の詳細は詐欺の試みにも使用され得る。

より一般的になっている第二の用途がある。圧力である。盗まれた記録は、要求が満たされなければ公開すると脅す形で、組織に対する leverage として保持され得る。評判がいかにしてランサムウェアのデータ恐喝の武器になったかに関する解説記事では、盗まれたデータがなぜ交渉の道具になったかを説明している。Questに関する報道元は、ここで恐喝が関与しているとは述べていないため、これはこの事件についての主張ではなく文脈である。

また、侵害後のガイダンスは何が取られたかによって異なり得ることも注目に値する。ある無関係な事例では、ホスピタリティ企業が影響を受けた宿泊客に対し、身分証明書が流出した後にパスポートと運転免許証を物理的に交換するよう助言した。その企業はQuest Diagnosticsとは関係ないが、この例は、通知に記載された特定のデータ種別が、見出しよりも重要である理由を示している。

主なポイント

Quest Diagnosticsのデータ侵害における患者記録の開示はまだ進行中であり、影響を受けた人の正確な数とデータの種類はまだ公開されていない。公開されるまでの間、いくつかの習慣でリスクの大部分をカバーできる。

  1. 侵害通知書に注意し、注意深く読むこと。
  2. 通知に識別情報が言及されている場合は、信用情報を凍結すること。
  3. 予期しない健康や請求に関するメッセージは疑わしいものとして扱い、公式チャネルを通じて確認すること。
  4. 主要なアカウントで多要素認証を有効にすること。

盗まれた記録が最初の見出しから長期間経った後でもなぜ重要になり得るかを理解するには、ランサムウェアのデータ恐喝に関する記事を読み、今日10分間を使って信用情報とアカウントを保護してほしい。