ShinyHunters、最新の標的としてExact Sciencesを名指し

恐喝グループ「ShinyHunters」は、大腸がんスクリーニング検査「Cologuard」で広く知られるアボット（Abbott）傘下の診断企業Exact Sciences Corporationを最新の被害者として名指しした。この主張と並行して、別のグループ「Chaos」もカナダの醸造会社Sleeman Breweriesを侵害したと表明している。いずれの主張も、ランサムウェアやデータ恐喝グループが組織名を公開して支払いを迫る、ダークウェブのリークサイト上で絶え間なく行われる投稿の一環として現れた。

今回の主張も常套手段どおり、ShinyHuntersが入手したとされるデータの具体的な内容は、本報道の時点ではExact Sciencesやアボットによって独立した検証はなされていない。恐喝グループは、実際にデータが盗まれたと確認される前から被害者名を日常的に掲載し、暴露の脅しを交渉の材料に使う。今回の主張が注目に値するのは、企業名だけでなく、その事業の性質にある。Exact Sciencesはがんスクリーニングに関わる診断検査を扱っており、データの流出があれば、通常のアカウント情報などよりもはるかに機微な健康情報や遺伝情報に触れかねないのだ。

健康・遺伝データの侵害がとりわけ大きなリスクを伴う理由

データ侵害の重みはすべて同じではない。小売店の顧客データベースが流出した場合、通常は盗まれたパスワードや決済情報、ポイント会員情報が問題となり、それらは変更や監視が可能だ。健康・遺伝データは異なる。患者の診断履歴、検査結果、遺伝子マーカーなどはパスワードのようにリセットできない。こうした情報が一度暴露されれば、それは永久的にさらされたままになる。

Exact Sciencesのような診断企業は、医療記録とラボデータの交差点に位置している。つまり、侵害が起きれば、氏名や連絡先だけでなく、病状、検査結果、保険情報などの詳細も漏洩する可能性がある。この組み合わせは犯罪者にとってきわめて価値が高く、標的を絞ったフィッシングや医療ID窃盗、保険金詐取を可能にし、クレジットカード単独の不正利用よりも被害者が気づきにくい。

ShinyHuntersが健康関連データを狙うのは今回が初めてではない。同グループは以前にもAmazon One Medicalの8.8TB侵害を主張しており、医療に関連する企業がリークサイトに名を連ねた別の事例となっている。医療分野の標的が繰り返されるのは、機微な医療データが緊迫感と恐怖を生み、恐喝グループがそれを利用して身代金交渉を早める戦略的な動きであることを示唆している。

患者が今すぐ取るべき対策

Cologuard、またはExact Sciencesの診断サービスを利用したことがある場合、この主張が調査され、企業によって確認または否定されるまでの間、取るべき現実的な対策がある。

  • 公式の通知に注意する。 正式な侵害通知は、アカウント詳細の確認を求める突然のメールや電話ではなく、Exact Sciencesまたはアボットから直接届く。
  • フィッシングの試行を警戒する。 詐欺師はしばしば侵害のニュースに便乗し、「検査結果が届いています」「アカウント確認」などと偽ったメッセージを送り付ける。検査結果に関連してリンクのクリックや個人情報の提供を求めるメッセージには疑いの目を向けること。
  • 保険および医療の明細を確認する。 医療ID窃盗は、身に覚えのない請求やサービスが保険給付明細に現れることで最初に発覚することが多い。
  • 信用情報の凍結または詐欺警告を検討する。 遺伝子データそのものを「凍結」することはできなくても、流出した個人情報に起因するID窃盗が心配な場合は対策を講じる。
  • 医療機関にデータ保持期間を尋ねる。 患者には、検査機関や診断企業が検査データをどのくらいの期間保持し、第三者と共有しているかを尋ねる権利がある。

医療および公的機関を狙うパターン

ShinyHuntersは、医療に限らず幅広いセクターで大規模侵害を主張することで知られてきた。同グループは以前、学習プラットフォームCanvasを手がけるInstructureに関連した2億7,500万件の記録侵害を主張し、また欧州評議会の人事システムから297GBのデータを窃取したと別途表明している。教育機関もこれらのキャンペーンの二次的影響を受けており、2度目のCanvas関連データ侵害がペンシルベニア州立大学ほかの試験を混乱させた事例がある。

これらの主張を総合すると、教育、政府、そして今回の健康診断へと、大量の機微な個人データが集中する場所であれば分野を問わず標的とするグループの姿勢が見える。同じ報道サイクルでChaosがSleeman Breweriesを主張したことは、この恐喝モデルが従来のサイバーセキュリティとは無縁に思われた業界にまで広がっていることを示している。

あなたにとっての意味

Exact Sciencesがこの事業の範囲を確認または否定する前であっても、今回の主張そのものが、健康・診断企業が格好の標的となる理由は、彼らが保持するデータを容易に置き換えられないからだということを改めて思い起こさせる。患者は、公式な声明によって何が起きたのかが明らかになるまで、検査結果やアカウントアクセスに言及するあらゆる連絡に慎重に対処すべきである。

要点

  • ShinyHuntersは、アボットが所有するExact Sciences Corporationを、ダークウェブのリークサイト上で新たな被害者として名指しした。
  • 健康・遺伝データの侵害は、パスワードのようにリセットできないため、長期的なリスクを伴う。
  • CologuardまたはExact Sciencesのサービスを利用した患者は、フィッシングの試みに警戒し、医療・保険明細に異常がないか確認すべきである。
  • 今回の主張は、ShinyHuntersが医療、教育、公的機関にわたり、機微な個人データの大規模なリポジトリを標的としてきた、より広範なパターンに合致する。

詳細が明らかになるにつれ、検証されていないダークウェブ上の主張に反応するのではなく、確認された企業声明を通じて情報を得ることが、患者が自らを守る最も効果的な方法であることに変わりはない。