DentaQuestのデータ侵害、260万件のアカウント情報が流出

歯科保険管理会社DentaQuestがデータ侵害に遭い、260万件のアカウントの機密情報が流出したことが明らかになりました。

このセキュリティインシデントが表面化したのは先月のことで、悪名高い恐喝グループShinyHuntersが同社をデータ漏洩サイトに掲載し、234GB超のデータを窃取したと主張しました。

脅威アクターによると、同社との交渉が決裂したとして、その後データが公開されました。

DentaQuestはSun Lifeグループに属し、米国最大級の歯科保険管理会社です。メディケイドプログラム、メディケア・アドバンテージプラン、企業、健康保険プラン、個人顧客向けに歯科保険プランとプロバイダーネットワークを管理しています。

同社は3,500万人の顧客にサービスを提供し、全米50州でプログラムを運営するとともに、14万人の歯科医・歯科専門医のネットワークを持つと説明しています。

6月2日、DentaQuestは自社ウェブサイト上でネットワークへの不正アクセスがあったことを認め、このインシデントがカスタマーサービスに「限定的な障害」をもたらしたと発表しました。

「DentaQuestは現在、当社ネットワークの限られた範囲への不正アクセスを伴うサイバーセキュリティインシデントへの対応を進めています」と声明には記されています。

「インシデントを最初に発見した際、直ちに環境の保護、攻撃の封じ込め、および脅威の軽減に向けた行動を取りました。」

「当社のシステムは完全に稼働しており、限定的な障害にとどめながら引き続きクライアントへのサービスを提供しています。」

同社はまた、外部の専門家を起用して調査を支援し、侵害されたデータの特定に当たっていると述べています。

昨日、データ侵害通知サービスのHave I Been Pwned（HIBP）が流出情報を分析したところ、260万件のアカウントのレコードが含まれていることが判明しました。流出したデータセットには、具体的に以下の情報が含まれています。

• メールアドレス
• 氏名
• 電話番号
• 政府発行ID
• 健康保険情報
• 性別
• 生年月日

DentaQuestの声明ではデータ侵害が顧客に影響を与えたことを明示的には認めていませんが、HIBPは複数の検証手法を用いて流出データセットの正当性を確認することで知られています。

HIBPはまた、流出したレコードの約66%が、過去に他の組織やサービスで発生したインシデントからすでにデータベースに登録済みのものであったと述べています。

今回のインシデントで情報が流出した可能性のある方は、届くすべての通信に十分ご注意ください。流出したデータはソーシャルエンジニアリングやフィッシング攻撃のリスクを高める恐れがあります。