ジョージア州の医療機器メーカーERMI、サウスカロライナ州のMcLeod Physician Associates、オハイオ州のCenters for Dialysis Careがそれぞれデータ侵害を発表しました。この3件のインシデントにより、10万1,000人以上が影響を受けています。
ERMI LLC(ジョージア州)
整形外科患者向け医療機器を製造するジョージア州のERMI LLCで、患者74,074人の電子保護対象保健情報（ePHI）を含むシステムへの不正アクセスが発生する重大なデータ侵害が確認されました。同社のシステムへの不正アクセスは2025年8月14日前後に発覚しています。外部のサイバーセキュリティ専門家の支援を受けて調査した結果、2025年2月15日から2025年8月14日の間に第三者が不正にシステムへアクセスしており、その間に患者情報を含むファイルが閲覧または取得された可能性があることが判明しました。
影響を受けたデータの詳細な手動レビューは2026年4月17日前後に完了し、流出したデータには氏名に加えて、社会保障番号、運転免許証番号、退役軍人識別番号、パスポート番号、ユーザー名とパスワード、パスワード・セキュリティ質問付きのメールアドレス、生年月日、死亡日、納税者/雇用主識別番号、金融口座情報、決済カード情報、医療情報、健康保険情報のうち1つ以上が含まれていることが確認されました。影響を受けた個人にはすでに通知が行われ、データ悪用のリスクを減らすために取れる対策について案内されています。また、社会保障番号が影響を受けた個人には無償の信用監視サービスが提供されています。
McLeod Physician Associates li(サウスカロライナ州)
サウスカロライナ州フローレンスを拠点とする医療グループ診療所McLeod Physician Associates liは、最大19,553人の患者の保護対象保健情報への不正アクセスを伴うデータ侵害を、米保健福祉省(HHS)の公民権局(OCR)に最近報告しました。影響を受けた患者への通知は2026年6月4日から開始されています。McLeod Healthのウェブサイトに掲載された代替侵害通知によると、2026年3月5日、廃止手続き中だったDillon Family Medicineのサーバーで不審なファイルが発見されました。調査が開始され、その結果、2025年10月17日から10月18日の間に第三者がこのサーバーに不正アクセスしていたことが判明しました。
調査により、今回のインシデントは単一のサーバーに限定されており、同診療所が現在使用している電子カルテシステムを含め、McLeod Healthの他のシステムは関与していないことが確認されました。当該サーバーを精査したところ、氏名、生年月日、社会保障番号のほか、診断名、投薬情報、検査結果、医療画像、治療情報、健康保険情報など、患者の診療に関連する情報が含まれていることが判明しました。
今後同様のインシデントを防ぐための対策がすでに講じられており、同診療所は引き続き強化されたセーフガードの導入と評価を進めていく方針です。McLeod Healthは、影響を受けたサーバーはすでに廃止され、使用されていないことを確認しています。
Centers for Dialysis Care(オハイオ州)
オハイオ州シェイカーハイツにあるCenters for Dialysis Careは、最大8,000人の保護対象保健情報への不正アクセスを伴う可能性のあるデータセキュリティインシデントを確認しました。同社のコンピューターネットワーク内で不審な活動が検知されたのは2026年3月20日前後です。外部のサイバーセキュリティ専門家の支援を受けて調査した結果、Centers for Dialysis Careは2026年4月11日、同社のネットワークへの不正アクセスがあり、個人情報および保護対象保健情報を含むファイルがアクセスされたことを確認しました。
今回のインシデントでは、現在および過去の患者と従業員の個人情報および保護対象保健情報が対象となっており、氏名、生年月日、社会保障番号、医療・健康情報、診断・治療情報、健康保険情報、および/または税務・financial情報が含まれていました。Centers for Dialysis Careは、今後同様のインシデントのリスクを軽減するため、追加のセキュリティ対策を導入済みであるとしています。
