キャンベラの一般開業医クリニックのデータ侵害で数千件の患者記録が流出

The Canberra Timesの報道によると、オーストラリア首都特別地域（ACT）の一般開業医クリニック3件がデータ侵害を認め、数千件の患者記録が流出した。今回の事件により、オーストラリアの医療分野が機微な医療情報をどの程度守れているのかという懸念が再燃している。あるサイバーセキュリティ専門家は、医療データを「闇市場で手に入る最も価値の高いデータのひとつ」と評している。

侵害の影響はキャンベラの複数の一般開業医クリニックに及び、医療関連のサイバー事案に悩まされるオーストラリアの地域にACTが加わる形となった。流出した記録数はクリニックによって異なるものの、その規模は地域の患者の少なくない割合に影響を及ぼす大きさであり、自身の情報が対象となったことにまだ気づいていない人も多いとみられる。

医療データが格好の標的となる理由

医療記録は、変更が難しく悪用しやすい情報の組み合わせを含んでいるため、サイバー犯罪者にとって特に魅力的だ。盗まれたクレジットカード番号は停止して再発行できるが、患者の生年月日、メディケア番号、病歴、本人確認情報はいつまでも有効なままだ。このように価値が失われにくい特性こそ、専門家が闇市場のマーケットプレイスで取引されるデータの中でも医療データが最も高価な部類に常に挙げられる理由である。

この傾向はキャンベラに限った話ではない。オーストラリアの医療機関は近年、世界的な標的リストに名を連ねており、今回の一般開業医クリニックの侵害は海外で起きた類似の事件を彷彿とさせる。米国では、Change Healthcareの侵害で約1億9,270万件の記録が請求や保険処理に関する情報とともに流出し、テネシー州の病院システムに対するランサムウェア攻撃ではクックビル地域医療センターの侵害で約33万8,000人の患者が影響を受けた。遠隔医療プラットフォームも例外ではなく、OpenLoop Healthの侵害では71万6,000人の患者データが流出した。これらの事例が示す一貫した傾向は、規模や専門分野を問わず医療機関は魅力的な標的であり、日常的な患者ケアを担う一般開業医クリニックも例外ではないということだ。

医療プライバシー保護における法整備の遅れ

報道の中で特に指摘されたのは、連邦法が医療機関を取り巻くリスクの高まりに追いついていないという見方である。一般開業医クリニックを含む小規模診療所は、病院ネットワークや保険会社と比べてIT予算も人員も限られていることが多いが、同様に機微な患者情報を保持している。プライマリケアの現場に即したより強固なベースラインのセキュリティ要件や明確な侵害通知基準がなければ、各クリニックが独自にセキュリティ対策を決めることになり、その結果はクリニックごとに大きくばらつく。

これは純粋にオーストラリアだけの問題ではない。同様のギャップは国際的にも見られる。オランダの多数の病院で使われる電子カルテソフトウェアChipSoftのケースでは、暗号化の慣行が厳しく問われていた時期に侵害が発生し、機微な患者データが流出した。共通するのは、国やクリニックの規模にかかわらず、医療データ保護の対策が、それを狙う脅威の高度化に後れを取ることが多いという点だ。

患者への影響

もしあなたがキャンベラの一般開業医クリニック、あるいはオーストラリア国内のどこかで患者として通院しているなら、今回の侵害は、たとえ経済情報ほど即座にセンシティブに感じられなくとも、自分の医療情報が犯罪者にとって現実的な価値を持つことを思い起こさせる出来事だ。盗まれた医療記録は、なりすまし犯罪、保険金詐欺、あるいは実際の健康歴の詳細を引用することでより本物らしく見せかける標的型フィッシング詐欺などに悪用される可能性がある。

現実的なリスクは、今回の事件で直接名指しされたクリニックにとどまらない。米国の6州にまたがる患者に影響を与えたHumanaの侵害で見られたように、医療データ侵害は共有記録システムや紹介、第三者請求サービスの利用などを通じて、侵害を受けた組織と直接やり取りのなかった人々にまで波及することがしばしばある。

実践的な対策

自分の記録が今回の侵害の一部になった可能性がある場合、あるいは今後のリスクを減らしたい場合は、以下の対策を検討してほしい。

  • 直接クリニックに連絡し、自分の記録が流出したかどうか、具体的にどのようなデータがアクセスされたのかを確認する。
  • 実際の診療内容、予約日、処方情報に言及したフィッシングの試みに注意する。そうしたメッセージは一般的な詐欺メールよりも見破りにくい。
  • メディケアや民間医療保険の明細で、身に覚えのない請求や受けた覚えのないサービスがないか定期的に確認する。
  • 医療機関に対し、暗号化やスタッフ研修を含むどのようなセキュリティ対策を取っているのか尋ねる。患者にはこのような質問をする権利がある。
  • 侵害に本人確認書類が含まれていた場合は、クレジットレポートの確認を検討する。医療情報の侵害では、より広範な本人確認詐欺に悪用されうる個人識別情報が同時に流出するケースが増えているからだ。

キャンベラのGPクリニックにおけるデータ侵害は、より大きな真実を浮き彫りにしている。医療プライバシー保護の仕組みは、犯罪者が医療データに置く価値の高まりとともに進化しなければならない。自分が通う医療機関での侵害について情報を入手し続けること、そして自分のデータがどのように守られているかを直接質問することは、患者が持つ最も有効な手段のひとつであり続ける。