米国内の数千の病院で利用されているソフトウェアを提供する英国企業が月曜日、ハッカーが社内ネットワークに侵入し、従業員や顧客、取引先に関するデータを盗み出したことを明らかにしました。
エディンバラに本社を置き、ロンドン証券取引所のAIM市場に上場しているCraneware社は、投資家向けの発表で、自社のデータ環境の「一部」に対する不正アクセスを検知し、外部のフォレンジック調査会社を招き入れたことを明らかにしました。
同社はこのインシデントをFBIおよび英国情報コミッショナー事務局(ICO)に報告済みだとしています。
同社によると、侵入はすでに封じ込められており、攻撃者は現在システム内に足がかりを持っていません。また、自社の業務および病院向けに提供しているサービスのいずれも中断していないと付け加えています。
同社の説明では、ネットワークから多数のファイル名が閲覧・コピーされました。その大半は機密性の低いものか、すでに公開されている規制関連データでしたが、一部の従業員データおよび顧客・取引先の記録も持ち出されたことを同社は確認しています。
Craneware社は現在、正確に何が盗まれたのかを調査中であり、それが判明し次第、影響を受けた組織や個人に通知する予定だとしています。
今回の発表では、誰が犯行に及んだのか、ハッカーが最初に侵入した時期、どのくらいの期間アクセスを得ていたのか、あるいは金銭要求があったのかどうかについては言及されていません。
Craneware社は、今回の侵害で記録が流出した顧客の名前を一切明らかにしておらず、盗まれたデータに患者情報が含まれていたかどうかについても言及していません。これは米国の医療プライバシー規則が適用されるかどうかを左右する重要な点です。
1999年に設立されたCraneware社は、米国の医療提供者向けに請求・価格設定・薬局管理ソフトウェアを販売しており、2,000以上の病院、および約1万件の診療所・調剤薬局と取引があるとしています。
ここ数年、ハッカーは医療関連ベンダーを繰り返し標的にしてきました。3月には、ソフトウェア企業CareCloudが、ハッカーが自社システムへのアクセス権を得たことにより患者の電子健康記録が流出した可能性があると警告しています。
CareCloudの警告の2週間前には、医療分析企業Insightinが、9月に発生したデータ窃取インシデントにより110万人が影響を受けたと州当局に報告していました。
また、2024年に医療技術企業TriZetto Provider Solutionsがハッカーに侵害された際には300万人の機密医療データが盗まれ、技術企業Episourceが攻撃を受けた際には500万人が影響を受けています。
翻訳元: https://therecord.media/software-provider-for-us-hospitals-customer-data-breach
