ヘルスケア大手アボットが2件のサイバー侵害を調査、恐喝を主張する犯行声明も

世界最大級のヘルスケア・医療機器企業であるアボット ラボラトリーズが、社内システムへの不正アクセスを認め、一見無関係とみられる2件のサイバー侵害事案を調査しています。アボットは製造、検査室業務、患者ケアへの影響はないとしていますが、サイバー犯罪グループのShinyHuntersとShadowByt3$は、侵害はそれよりはるかに広範囲に及ぶと主張しています。これらの主張は本稿執筆時点で未検証であり、これまでのところ公開流出データによる裏付けもありません。

両事案は、アボットのがん診断（Cancer Diagnostics）事業部門と、コア検査室診断向けの顧客ポータル「LabCentral」に関わるものだと報じられています。

複数の報道機関が、アボットによる公式声明を引用していますが、この声明はその後削除されています。

「不正アクセスはがん診断事業部門の社内システムのみに限定されており、アボットの他の事業部門、拠点、システム、製品供給、製造、検査室業務への影響はありません」

LabCentralについてアボットは記者団に対し、同ポータルは外部でホストされているものであり、「機微な顧客情報や事業情報が流出したことを示す事実は確認されていない」と説明しています。

ShinyHuntersはBleepingComputerに対し、社内文書、契約書、顧客情報、2,200万件を超える医師・患者間のカルテ記録、2,000万件を超える医療オーダー、100万件を超える米国の社会保障番号(SSN)、さらに氏名、住所、生年月日、メールアドレス、電話番号といった個人を特定できる情報(PII)を窃取したと主張しています。

7月18日、ShinyHuntersは、窃取したとされるデータを流出させる前に対応するよう、7月21日を期限としてアボット側に通告しました。

「これが最終警告だ。2026年7月21日までに連絡してこなければ、データを流出させるとともに、いくつかの厄介な(デジタル上の)問題も降りかかることになるだろう。正しい判断をしてほしい。次の見出しになりたくないなら」

この「デジタル上の問題」という脅し文句は、ShinyHuntersがこれまでにも使ってきた常套句です。Canvasへの攻撃では、同グループが学校のログインページとCanvasアプリを改ざんし、画面上に身代金要求メッセージを表示させています。

これとは別に、ShadowByt3$は、侵害された顧客の認証情報と環境内の「弱点」を利用して7月4日にLabCentralポータルへアクセスしたと主張しており、アボットの検査室システムに関する技術文書、製造証明書、操作マニュアル、技術仕様書、規制関連文書を窃取したとしています。

攻撃者側の主張が事実だと判明すれば、この侵害はアボットの診断システムを利用する医療機関に影響を及ぼし、機微な患者情報や医療データが流出する可能性があります。ただしアボットは、LabCentral事案を通じて機微な顧客情報や事業情報が流出した証拠は見つかっておらず、患者データが侵害されたことも確認していないとしています。

現時点で事実と合理的に推測できること

• がん診断部門のシステムに影響する実際の侵害が発生していたこと。アボットは不正アクセスを公に認め、インシデント対応チームと法執行機関を関与させています。単なる「でっち上げ」の恐喝未遂には見えません。
• LabCentralポータルに関わる別のサイバー事案も発生していたこと。アボットによれば、同ポータルは主に一般公開されている参考資料をホストしており、機微な顧客情報や事業情報が流出した証拠は見つかっていないとのことです。
• ShinyHuntersとShadowByt3$の両グループがそれぞれの恐喝サイトにアボットを掲載しており、報道機関に詳細な経緯を提供していること。単なる名前だけの主張にとどまらないという点です。
• 直近の報道時点では、どちらのグループも窃取したと主張するデータのサンプルを公開していないこと。

アボットの顧客が取るべき対策

データ侵害の被害に遭った、あるいはその可能性がある場合に取れる対策をいくつか紹介します。

• ベンダーからの情報を確認する。 侵害の内容は事案ごとに異なるため、ベンダーに問い合わせて何が起きたのかを確認し、提示される個別の指示に従ってください。
• パスワードを変更する。 パスワードを変更すれば、盗まれたパスワードを無効化できます。他では使い回していない強力なパスワードを選んでください。さらに良いのは、パスワードマネージャーに生成・保管を任せることです。
• 二要素認証(2FA)を有効にする。 可能であれば、第2要素としてFIDO2準拠のハードウェアキー、ノートPC、スマートフォンを利用してください。2FAの一部の方式はパスワードと同様にフィッシングされる可能性があります。FIDO2デバイスに依存する2FAはフィッシングされません。
• なりすまし詐欺に注意する。 犯罪者が企業を装って連絡してくることがあります。企業が被害を受けた顧客にどのような方法で連絡しているかを公式サイトで確認し、別の連絡手段で接触してきた相手については必ず本人確認をしてください。
• 焦らず対応する。 フィッシング攻撃は、よく知る人物やブランドを装い、配送物の不着、アカウント停止、セキュリティ警告といったメッセージで偽の緊急性を演出してくることが多いものです。
• カード情報の保存は避ける。 サイトにカード情報を記憶させておくのは確かに便利ですが、そうした情報をウェブサイト上に保存しないことを強くお勧めします。
• ID監視サービスを設定する。 ID監視サービスは、個人情報がオンライン上で不正に取引されていないかを監視して警告し、なりすまし被害に遭った場合の復旧をサポートします。