Oracle Health/Cerner、2025年のデータ漏えいで約2,000万人に影響

Oracle Healthの旧Cernerサーバーに保管されていた電子的な保護対象医療情報（ePHI）をめぐる2025年のデータ漏えいについて、被害の規模が明らかになりつつあります。独自の裏付けは取れていないものの、Bloombergは、テキサス州司法長官が公表した情報から、この漏えいで約2,000万人の保護対象医療情報が侵害された可能性があると報じています。Oracle Healthは、影響を受けたCernerの顧客数も、影響を受けた個人の総数も公表していません。

州司法長官の中には、データ漏えいの通知を自らのウェブサイトで公開しているところもありますが、個々の漏えいで影響を受けた人数まで明らかにしているのはごく一部です。人数を公表している州に基づくと、今回の漏えいはテキサス州で2,992,244人、オレゴン州で1,978,661人（1,970,332人＋8,329人）、サウスカロライナ州で283,903人、ワシントン州で69,238人に影響したことが確認されています。米保健福祉省（HHS）の公民権局（OCR）の漏えい公表ポータルには、影響を受けた個人の最終的な総数が掲載されますが、まだ最新の数字に更新されておらず、仮の数値である501人のままで登録されています。テキサス州司法長官には2026年10月2日に更新後の総数が提出されたため、OCRのポータルも今後数週間のうちに更新される見込みです。

Oracle Health/Cernerの漏えい通知によると、権限のない人物は早ければ2025年1月22日に旧Cernerサーバーへ最初にアクセスし、Oracle Healthは2025年3月7日にこのセキュリティ侵害を把握しました。オレゴン州司法長官は、漏えいの期間を2025年1月22日から2025年4月1日までとしています。侵害された情報には、氏名、社会保障番号（SSN）、診療記録に関連する健康情報が含まれます。具体的には、診断、ケアや治療に関する情報、薬剤、検査結果、医用画像、診療記録番号、医師名などです。

このセキュリティ侵害は、ランサムウェアグループではなく、単独のハッカーによる犯行とみられます。2025年3月の報道によると、このハッカーは盗んだデータの公開を止める見返りとして、身代金の支払いを要求しました。侵害されたのは、Oracle Cloudへの移行が済んでいなかった2台の旧Cernerサーバーです。Oracleは2022年に284億ドルでCerner Corporationを買収し、同社をOracle Healthに統合しました。Oracle Healthは自社のシステムに影響はなかったとしており、Cerner Corporationのデータ漏えいとして報じられているこの問題から距離を置いています。

Black Hills Information SecurityのオーナーであるJohn Strand氏は、HIPAA Journalの取材に次のように語りました。「今回の件は、企業買収を検討するすべての人への警告になるはずです。セキュリティのデューデリジェンスは、M&Aのプロセスに必ず組み込む必要があります。私たちも顧客のために多くの時間をかけて取り組んでいる作業です。Oracleが、安全なクラウドサービスにまだ移行していない旧システムだったと言って、この問題を軽くあしらっているのは好ましくありません。それでも責任はOracleにあります。企業を買収した時点で、そのセキュリティ上の脆弱性も含め、あらゆる面に責任を負うことになるのです」

2025年12月30日：Oracle Healthのデータ漏えい、80の病院に影響した可能性

Oracle Healthで起きたハッキング事件の影響人数はまだ確認されていませんが、最大80の病院が影響を受けたことは判明しています。Oracle Healthは影響を受けた医療機関の顧客に通知を進めており、その一部は最近になって初めて被害を知りました。ミズーリ州のLake Regional Health System、イリノイ州のOSF Saint Clare Medical Center、オハイオ州のAultman Health System、ノースカンザスシティのNKC Healthは、いずれも最近、このハッキングの影響を受け、患者データが盗まれたことを確認しました。これらの医療機関はそれぞれ、影響を受けた患者への通知を開始し、無償のクレジットモニタリングサービスを提供しています。

ハッキングで侵害されたデータは医療機関ごとに異なりますが、一般に診療記録に保管される情報が含まれます。氏名、生年月日、社会保障番号、診療記録番号、診断、薬剤、検査結果、医用画像などです。データは侵害されたものの、現時点で悪用された事例は確認されていません。影響を受けた医療機関の一部は、Oracle Healthから被害の通知を受けたばかりです。たとえばOSF Saint Clare Medical CenterとNKC Healthは、ハッキングから11か月後の11月になって、ようやく影響を受けた個人の一覧を受け取りました。

このデータ漏えいを受け、複数の集団訴訟が起こされています。被害者の代理人を務める弁護士の1人は、Oracle Healthの弁護士から、80の病院が影響を受けた可能性があると伝えられました。ミズーリ州西部地区連邦地方裁判所に起こされた訴訟で被害者の1人の代理人を務めるElena A. Belov弁護士は、今回の漏えいが数百万人に及ぶ可能性を指摘しています。最も深刻な被害を受けた医療機関の顧客の1つがミシガン州のMunson Healthcareで、最近、10万人を超える患者が影響を受けたことを確認しました。

影響を受けたことが判明している医療機関は次のとおりです。

AdventHealth（フロリダ州）
Aultman Health System（オハイオ州）
Baptist Health South Florida
ChristianaCare（デラウェア州）
Glens Falls Hospital（ニューヨーク州）
Lake Regional Health System（ミズーリ州）
LifeBridge Health（メリーランド州）
Methodist Le Bonheur Healthcare（テネシー州）
Mosaic Life Care（ミズーリ州）
Munson Healthcare（ミシガン州）
North Kansas City Hospital（ミズーリ州）
OSF HealthCare（イリノイ州）
Tallahassee Memorial Healthcare（フロリダ州）
Union Health（インディアナ州）

2025年8月14日：Oracle Health/Cernerのデータ漏えい、少なくとも14,485人に影響

Oracle Health（旧Cerner Corporation）のデータ漏えいで影響を受けた人数が、徐々に明らかになりつつあります。影響を受けた個人の総数はまだ公表されていませんが、各州司法長官に提出された漏えい通知によると、14,480人超が影響を受けたことが確認されています。ただし、実際の総数が大幅に多いことは間違いありません。

漏えい通知書を公開している州は複数ありますが、影響を受けた人数まで明らかにしているのは、マサチューセッツ州、サウスカロライナ州、テキサス州、ワシントン州など少数にとどまります。これらに加え、カリフォルニア州もOracle Healthの漏えい通知を公開していますが、影響を受けた人数は明らかにしていません。

Oracle Healthは以前、HHSの公民権局（OCR）への報告が必要な漏えいがあったかどうかを判断する責任は、影響を受けた各対象事業体（covered entity）にあると説明しました。このため、影響を受けた対象事業体の顧客が自らOCRに報告するとみられ、影響を受けた人数の把握は難しくなっています。

2025年4月21日：CISA、Oracleのデータ漏えいで影響を受けた顧客向けにセキュリティアラートを発表

米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、最近確認されたOracleのデータ漏えいについて、セキュリティアラートを発表しました。Oracleは、権限のない人物が旧クラウド環境にアクセスしたことを認めましたが、公表された詳細は限られており、漏えいの範囲は現時点で確認されていません。Oracleの顧客を狙う攻撃者の活動も報告されていますが、その範囲や影響はまだわかっていません。

この漏えいで侵害された情報には、ユーザー名、メールアドレス、パスワード、認証トークン、暗号鍵といった認証情報が含まれます。そのため、今回の漏えいは企業環境にとってリスクとなります。CISAはOracleの顧客に対し、不正アクセスを防ぐ対策を講じるよう推奨しています。また、認証情報がスクリプト、アプリケーション、インフラのテンプレート、自動化ツールに埋め込まれている場合は検知が難しいと警告しています。対策を取らなければ、攻撃者が認証情報を悪用し、企業環境に長期間アクセスし続ける可能性があります。

攻撃者は認証情報をたびたび収集して武器化するため、認証情報の漏えいにはリスクが伴います。盗まれたデータは過去の漏えいで入手した情報で補強できるほか、他の攻撃者に売却したり、ビジネスメール詐欺（BEC）攻撃やフィッシングキャンペーンに使ったりすることも可能です。有効な認証情報があれば、権限を昇格させてネットワーク内を横展開したり、クラウドやID管理システムにアクセスしたりすることもできます。

CISAが示す緩和策には、企業のサーバー全体でパスワードをリセットすることが含まれます。特に、ローカルの認証情報が企業のIDソリューションでフェデレーションされていない可能性がある場合は重要です。ソースコードに加え、コードとしてのインフラ（IaC）のテンプレート、設定ファイル、自動化テンプレートも調べて、埋め込まれた認証情報を見つけ出し、安全な認証方式に置き換える必要があります。認証ログは、特に特権アカウント、サービスアカウント、フェデレーションIDのアカウントを中心に、異常な動きがないか監視してください。可能であれば、特に管理者アカウントにフィッシング耐性のある多要素認証を導入し、徹底することも求められます。

Oracleは、漏えいが旧サーバーで起きたものでありOracle Cloudは侵害されていないと強調していますが、顧客のリスク軽減を支援するための公式なアドバイザリーはまだ出していません。

2025年4月15日：Oracle、旧式サーバーに関わるハッキング事件を認める

Oracleは、メディアで広く報じられたセキュリティインシデントについて顧客に通知し、Oracle Cloudは侵害されていないと確認しました。Oracleは2025年4月7日付の顧客向けメール通知で、「Oracle Cloud（Oracle Cloud Infrastructure、すなわちOCIとも呼ばれます）はセキュリティ侵害を受けていないと、Oracleは断言します」と説明しています。さらに、「OCRの顧客環境は一切侵入されていません。OCIの顧客データが閲覧されたり盗まれたりした事実はありません。OCIのサービスが中断されたり、何らかの形で侵害されたりした事実もありません」とも述べました。

ただし、旧サーバーに関わるセキュリティインシデントはありました。Oracleは「ハッカーは、OCIには一度も組み込まれていなかった2台の旧式サーバーからユーザー名にアクセスし、公開しました。この2台のサーバーのパスワードは暗号化またはハッシュ化されていたため、ハッカーは使用可能なパスワードを露出させていません。したがって、ハッカーは顧客環境にも顧客データにもアクセスできませんでした」と説明しています。

セキュリティ研究者のKevin Beaumont氏によると、この「旧式サーバー」はGen1、通称Oracle Cloud Classicで、Oracle Cloudとは別のプラットフォームですが、Oracleが管理するクラウドサービスでした。Beaumont氏は、Oracleが漏えい通知で言葉遊びをしていると指摘し、データを含む2台の旧式サーバーに、なぜいまだにアクセスできる状態だったのかと疑問を呈しました。Oracleの回答は、攻撃者rose87168の主張に関連するものです。この攻撃者は、LDAP表示名、メールアドレス、名、ハッシュ化されたパスワードなどを含む600万件のデータレコードを販売しようとしています。

これとは別に、旧Cernerを統合したOracle Healthでも別のインシデントがありました。Oracle Healthのインシデントでは、「Andrew」と名乗るハッカーが、Oracle Healthの顧客を恐喝しようとしているとされています。盗んだデータの公開を止める見返りとして、数百万ドル相当の暗号資産を要求しているということです。米連邦捜査局（FBI）が捜査していますが、捜査中の案件に関する情報は明らかにしていません。

Oracle Healthのセキュリティインシデントも旧サーバーに関わるもので、今回は電子カルテ企業Cernerの旧サーバーが対象でした。これらのサーバーは、Oracle Cloudへの移行が済んでいませんでした。Oracleによると、2025年1月22日ごろに、盗まれた認証情報を使ってこれらのサーバーにアクセスされました。このセキュリティインシデントは2025年2月20日ごろに把握されています。影響を受けた人数や関与したデータの種類はまだ確認されていませんが、一般に診療記録に含まれる情報が含まれるとみられます。

この漏えいに関連して、Oracle Healthに対する別の訴訟も起こされました。この訴訟はミズーリ州西部地区連邦地方裁判所に提起されたもので、ハッカーが氏名、社会保障番号、臨床検査結果などの保護対象医療情報を盗んだと主張しています。2022年に283億ドルでCernerを買収した後、サーバーの安全を確保しなかったとして、Oracle Healthの過失を訴えています。

原告として名前が挙がっているRebecca Blount氏とCheryl McCulley氏の2人は、Oracle Healthからデータ漏えいの通知を受けていないと主張しています。現在は、なりすましや詐欺のリスクが高まったまま続いており、自分のデータの悪用から身を守るための費用も負担したと訴えています。この訴訟は損害賠償に加え、Oracle Healthにセキュリティの改善と今後のより高い透明性の確保を命じる裁判所命令など、差止めによる救済も求めています。

Oracle Healthは医療機関の顧客への通知で、HIPAAに基づく報告義務のある漏えいが発生したかどうかを判断する責任は顧客側にあると説明しました。報告義務のある漏えいがあったと判断した場合に、影響を受けた個人へ漏えいを通知する責任も顧客側にあるとしています。

2025年4月3日：Oracle、医療データ漏えいで提訴される

2025年1月に起きたデータ漏えいをめぐり、フロリダ州の住民が、テキサス州西部地区連邦地方裁判所でOracle Corporationを相手取った集団訴訟を起こしました。Oracleはデータ漏えいがあったことをまだ公式に認めておらず、このインシデントは米保健福祉省（HHS）公民権局（OCR）の漏えい公表ポータルにもまだ掲載されていないため、現時点で何人が影響を受けたのかは不明です。

法律事務所Shamis & Gentileが起こしたこの訴訟では、Michael Toikach氏が原告に名を連ねており、このインシデントで個人データを侵害された同様の立場にある人々を代表して提起されました。原告は、自身の個人情報と健康情報が、Oracleのソフトウェアを使用する医療機関を通じてOracleに保管されていたと主張しています。訴状は、Oracleが業務目的で受け取り保管していた機密データを適切に保管・保護し、十分に廃棄するための、合理的で業界標準のデータセキュリティ対策を実施しなかったと訴えています。その結果、データセキュリティの不備によってサイバー攻撃とデータ漏えいの被害に遭ったという主張です。具体的には、ネットワークのセグメンテーションが不十分で、従業員のサイバーセキュリティ研修が足りず、監視・警告システムも欠いていたと指摘しています。

この漏えいは2025年1月22日ごろに発生し、Oracleは2025年2月20日に発見しました。訴訟では、通知が行われていない点も問題視しています。HIPAAの漏えい通知規則では、不当な遅延なく、遅くともデータ漏えいの発見日から60日以内に通知しなければなりません。テキサス州にもデータ漏えい通知法があり、訴訟はこれにも違反していると主張しています。テキサス州法もHIPAAと同様に、不当な遅延なく、遅くともデータ漏えい発見から60日目までに通知する必要があります。

訴訟は、通知の遅れとデータ漏えいに関する透明性の欠如により、原告と集団のメンバーがリスクや被害を軽減するために必要な情報を得られなかったと主張しています。機微な個人情報と健康データが侵害されたため、原告と集団のメンバーは、なりすましや詐欺のリスクが高まったまま続いており、この高いリスクは今後何年も続く可能性が高いと訴えています。

訴訟では、過失、法律違反による当然の過失（negligence per se）、第三者受益者契約の違反、不当利得、信認義務違反を主張しています。陪審裁判、補償的損害賠償、自己負担した損失の償還、長期のクレジットモニタリングサービスを求めています。さらに、Oracleに多数のセキュリティ対策の実施を命じる差止めによる救済も求めています。データの暗号化、定期的なペネトレーションテスト、第三者によるセキュリティ監査、自動化されたセキュリティ監視、セキュリティ意識向上トレーニングの強化などです。

2025年3月31日：Oracle Healthの漏えい、米国の複数の病院の患者に影響

Oracleは2件のセキュリティインシデントに見舞われたとみられ、そのうち1件は、電子カルテ（EHR）企業Cernerに関連してOracle Healthが保管していたデータに関わるものです。Oracle Healthは病院向けにヘルスケアITを提供する事業者です。Oracleは2021年12月、EHRベンダーのCerner Corporationを買収することで合意したと発表しました。買収は2022年6月に完了し、CernerはOracle Healthになりました。

Oracle Healthは、このサイバー攻撃とデータ漏えいについてまだ公式に発表していませんが、影響を受けた医療機関に対し、データが侵害されたことの通知を始めています。ただ、Oracle Healthは漏えい通知の中でインシデントの詳細を医療機関に明かしておらず、現段階では情報が乏しい状況です。影響を受けた医療機関の顧客の一部と連絡を取ったBleeping Computerによると、通知書には、Oracle Healthが2025年2月20日にセキュリティ侵害を検知し、フォレンジック調査で2025年1月22日以降に侵害が起きたことが確認されたと記されています。Oracle Healthは、正体不明の攻撃者が盗んだ認証情報を使って旧サーバーにアクセスし、データを持ち出したとしています。

関与したデータの種類は不明ですが、電子カルテに含まれるデータが含まれているとみられます。その場合、医療保険の携行性と責任に関する法律（HIPAA）に基づく報告義務のある漏えいになります。Oracle Healthは影響を受けた医療機関に対し、影響を受けた個人と関与したデータの種類の特定を支援し、無償のクレジットモニタリングとID盗難防止サービスの費用を負担し、漏えい通知書のテンプレートも提供できると伝えたといいます。一方で、HIPAA上の漏えいがあったかどうかを判断し、あった場合に影響を受けた個人へ通知書を送る責任は、影響を受けた各医療機関にあるとも述べています。

HIPAAの漏えい通知規則では、保護されていない保護対象医療情報が漏えいした場合、米保健福祉省に対し、不当な遅延なく、遅くともデータ漏えいの発見日から60日以内に通知する必要があります。個人宛ての通知書も同じ期間内に郵送しなければなりません。漏えいが500人以上に影響する場合は、影響を受けた個人が居住する州や管轄区域で主要なメディアにも通知を出す必要があります。

HIPAA規制対象事業体の業務提携者（business associate）でデータ漏えいが発生した場合、業務提携者は、不当な遅延なく、遅くとも漏えい発見日から60日以内に、影響を受けた対象事業体の顧客に通知しなければなりません。今回もこれに当たるとみられます。影響を受けた個人に60日以内に通知書が郵送されるようにする責任は、影響を受けた対象事業体にあり、業務提携者から通知を受けた時点からカウントが始まります。HIPAAでは、各対象事業体は通知書の発行を業務提携者に委任することが認められていますが、最終的に通知が確実に行われるようにする責任は、影響を受けたHIPAA対象事業体にあります。

Oracle Healthの通知書には、Oracle Healthのエグゼクティブバイスプレジデント兼GMであるSeema Verma氏の署名があったとされています。ただし、通知書はレターヘッド付きの用紙で送られておらず、影響を受けた顧客は、メールではなく電話でOracle Healthの最高情報セキュリティ責任者（CISO）室に直接連絡するよう案内されたということです。このことから、Oracleは旧Cernerのデータ移行用サーバーの侵害と関わりがあると見られるのを避けようとしているようです。

ランサムウェアが使われたかどうかは不明ですが、データは持ち出され、影響を受けた医療機関への恐喝に使われています。そのうちの一部は、既知のランサムウェアグループとは無関係だと主張する「Andrew」という攻撃者から、身代金を要求されたと伝えられています。この攻撃者は、支払いがなければ盗んだデータを流出させると脅しています。

別のインシデントとみられるケースでは、別の人物が約1か月前に脆弱性を悪用してOracle Cloudのサーバーにアクセスし、約600万件のレコードを持ち出したと主張しています。rose87168を名乗るこの人物は、SSO認証データと暗号化されたLDAPパスワードを入手したと述べています。盗まれたファイルの情報を使えば復号できるとも主張しています。悪用したとされる脆弱性は、Oracle Access Managerに影響を及ぼす CVE-2021-35587 です。

このインシデントの影響を受けたとされる複数の企業の担当者が、盗まれたデータのサンプルに自社アカウントに関連する本物の情報が含まれていると、Bleeping Computerに対して確認しました。CloudSEKの研究者は、rose87168が提供したデータを調べ、深刻度は高く、Oracle Cloudサービスを利用する14万社超の顧客が関与していると、中程度の確度で結論づけました。Oracle Cloudは、Oracle Cloudの侵害はなく、公開された認証情報にもOracle Cloudのものは含まれていないとしていますが、公式な説明はしていません。