ヘルスケア大手のアボット社は、2つの脅威グループがそれぞれ主張するサイバー攻撃およびデータ窃取の疑惑について調査を進めています。一方はがん診断事業における旧Exact Sciences社システムに関するもの、もう一方は同社のLabCentralポータルに関するものです。
アボット社は2025年後半にExact Sciences社を買収しました。同社はがんスクリーニングと精密腫瘍診断を専門としており、この買収によりアボット社は急成長中のがん診断市場に参入することになりました。アボット社は患者データがどの程度侵害されたかについてはまだ確認していませんが、旧がん診断システムの一部への不正アクセスがあったことは認めています。今回の侵入はアボット社の他の事業には影響しておらず、事業運営、製品、製品供給、製造・検査室業務、患者へのサービス提供能力にも影響はありませんでした。被害を受けたExact Sciences社のシステムは、アボット社のシステムとは別のものです。アボット社は2026年7月16日の発表で、今回のインシデントが事業や財務結果に重大な影響を及ぼすとは見込んでいないと述べています。
データ窃取・恐喝グループのShinyHuntersが今回の攻撃について犯行声明を出し、支払いに応じなければ盗んだデータを公開すると脅迫しました。アボット社はこのグループと交渉を行い、公開期限は2026年7月21日まで延長されました。支払いが行われたかどうかは現時点で不明ですが、2026年7月20日時点で盗まれたデータの流出は確認されていません。
ShinyHuntersはボイスフィッシング（ビッシング）を通じて被害者のシステムを侵害することが多く、今回の攻撃でも同様の手口を用いたとみられています。Bleeping Computerの報道によると、同メディアはShinyHuntersの広報担当者から、6月中旬にアボット社の従業員を標的にビッシング攻撃を実施したとの連絡を受けたとしています。これにより、一部の社内システムへのアクセスを可能にするMicrosoft Entraのシングルサインオンアカウントを侵害できたとのことです。同グループは、氏名、連絡先情報、生年月日、そして社会保障番号100万件を含む、顧客データ3000万行を窃取したと主張しています。
また、ShadowByt3$を名乗るハッカーによる別の主張についても調査が開始されています。このハッカーの主張によると、今回の別件の攻撃ではLabCentralという顧客向けポータルを通じてアボット社の中核事業に不正アクセスしたとされています。この脅威アクターは、侵害された顧客の認証情報を使って2026年7月4日にアクセスを取得し、週末にかけてデータを窃取したと主張していますが、顧客データや患者データの侵害はなかったとしています。アボット社は、この第三者がホストするポータルには機密データは含まれておらず、操作マニュアル、製品仕様書、トラブルシューティングチェックリストといった技術系の製品参考資料など、一般に公開されている非機密データのみが含まれていると説明しています。
アボット社は、Stryker社、Medtronic社、iRhythm社、AdaptHealth社、Intuitive社など、ここ数か月でサイバー攻撃やデータ侵害を発表した複数の医療技術企業の一社となります。
翻訳元: https://www.hipaajournal.com/abbott-investigating-cyberattack-claims/
