医療機関向け財務ソフトウェアを提供するCraneware社は、同社のデータ環境から大量のファイル名が窃取されるサイバーインシデントが発生したことを公表しました。
同社は7月20日付の通知で、データ環境の一部への不正アクセスを伴うサイバーセキュリティインシデントを確認したことを認めました。
今回のサイバー攻撃では「大量」のファイル名が閲覧・窃取されましたが、その大部分は機微性のないデータ、あるいはすでに公開されている規制関連データだったとされています。
同社は、一部の従業員データおよび顧客・パートナー企業の記録の一部にもアクセスされ、窃取されたことを認めています。
顧客向けサービスへの支障は発生していません。同社は英国の情報コミッショナー事務局(ICO)および米国の連邦捜査局(FBI)の両方に通報済みです。
同社は現在もインシデントへの対応を継続しており、影響を受けた関係者を特定して通知するための作業を進めています。
侵入者の正体や、ハッカーがCranewareのデータにどのように侵入できたのかについての情報は開示されていません。
Cranewareは英国スコットランドと米国フロリダに本社を置き、米国の医療システム向けに会計・請求ソフトウェアを提供しており、約2000の病院・医療システムと提携しています。
同社の製品にはTrisus Chargemasterがあり、これは病院や保険会社が患者に請求する品目・処置・サービスの価格を詳細に示すソリューションです。
サイバーセキュリティの専門家たちは、Cranewareがインシデントを迅速に封じ込めた対応を評価する一方で、今回アクセスされたデータの量については懸念を示す声もありました。
データ流出対策(ADX)技術を提供するBlackFog社のCEO兼創業者であるDarren Williams氏は、次のように述べています。「大量のファイル名がアクセス・複製されたという事実は、執念深い攻撃者が比較的容易にデータ流出を実行できることを示しています。顧客や取引先の記録、さらには公開されている規制関連データまでもが露呈したことは、たとえ深刻度が低いと位置付けられたインシデントであっても、実際には無視できないリスクを伴うことを物語っています」
同氏は、医療サプライチェーンにおけるCranewareの立ち位置にも言及しました。この分野は、こうしたサードパーティ製ソリューションに依存する医療提供者や患者を狙う攻撃者による標的化がますます進んでいる領域です。
同様に、OPSWAT社のSVP of Global(グローバル担当上級副社長)であるJames Neilson氏は、次のように述べています。「Cranewareは米国の医療システム全体で広く利用されているため、同社が保有するデータはサイバー犯罪者にとって魅力的な標的です。Cranewareは米国医療エコシステムの中心に位置し、数千の医療機関を支えています。データの多くは機微性のないものであるとはいえ、それが盗まれたという事実自体が損害をもたらしかねません」
最後にWilliams氏は、次のように付け加えています。「Cranewareはこれまでのところ適切に対応していますが、今後は何が窃取されたのかその全容を解明し、影響を受けた対象者を確定させる必要があります」
翻訳元: https://www.infosecurity-magazine.com/news/craneware-reports-data-theft/
