Cranewareへのサイバー攻撃、従業員データと米国医療機関顧客データが流出

英国を拠点とする医療財務パフォーマンスソフトウェアプロバイダーのCraneware plcは、サイバー攻撃を受け、権限のない第三者が同社システムの一部に不正アクセスし、データを窃取したことを公表しました。

Software

同社によると、今回の事案では従業員情報のほか、米国医療業界の組織を含む一部の顧客・パートナーに関連する記録が影響を受けたとしています。

Cranewareへのサイバー攻撃で従業員データが流出

2026年7月20日に公表された規制当局向けの発表の中で、Cranewareは侵入を検知し、インシデント対応計画を発動したと述べています。

取締役会は外部のサイバーセキュリティおよびデジタルフォレンジックの専門家を任命し、社内IT担当者およびセキュリティサービスプロバイダーの調査に当たらせました。現時点で同社は、この攻撃を特定の脅威アクターやランサムウェア組織、侵入手法に結び付けてはいません。

Cranewareは、今回の事案はすでに封じ込められており、顧客向けサービスや事業運営全般への影響はないと説明しています。外部の調査担当者も、同社システム内に侵害の痕跡は残っていないと確認しました。

しかし、この確認だけではデータ流出という重大な問題は解決していません。調査担当者は現在も、具体的にどのファイルや記録がアクセス・複製・持ち出しされたのかを特定する作業を続けています。

同社の予備調査によると、攻撃者は大量のファイル名を閲覧・窃取したとみられています。

Cranewareは、影響を受けた情報の多くは機密性の低い内容、またはすでに公開されている規制関連データで構成されているとみられると説明しています。とはいえ、一部の従業員データと、顧客・パートナー記録の一部が窃取データに含まれていたことも認めています。

今回の公表が特に重要な意味を持つのは、CranewareがTrisusクラウドエコシステムおよび関連する収益サイクル、価格設定、財務、業務管理ツールを通じて医療機関を支援しているためです。

顧客はこのプラットフォームを利用し、医療財務パフォーマンスや業務ワークフローを管理しています。Cranewareは、アクセスされた顧客記録に保護対象保健情報(PHI)、患者データ、認証情報、財務記録、その他の機密情報が含まれていたかどうかは明らかにしていませんが、米国の医療機関に関連するデータが流出した可能性があること自体が、コンプライアンスおよび通知義務に関する懸念を生じさせています。

Cranewareは英国情報コミッショナー事務局(ICO)や米国連邦捜査局(FBI)を含む規制当局・法執行機関に通報済みです。

同社は、影響を受けた個人や組織を特定するためアドバイザーと連携していると述べており、適用される法規制上の義務に従って通知を行うとしています。

影響を受けた医療機関の顧客にとって、今回の事案は、重要な財務・業務情報を処理・保管するベンダーに伴うサードパーティリスクを改めて浮き彫りにするものです。

Cranewareのサービスを利用している組織は、ベンダーからの連絡を注意深く監視するとともに、同プラットフォームに関連するアクセスログや連携状況を確認し、今回の侵害で得られた情報に基づく認証情報のリセットやフィッシング、標的型のソーシャルエンジニアリング攻撃に備えることが求められます。

同社は、初期侵入の時期、発覚日、影響を受けた個人や組織の数、関連する従業員・顧客データの量については明らかにしていません。

さらに、攻撃者が金銭を要求したかどうか、あるいは窃取したファイルを公開したかどうかについても言及していません。Cranewareは調査が現在も継続中であり、必要に応じて市場向けの続報を発表するとしています。

 脅威検知と迅速な調査を加速し、SOCを強化しましょう。 -> ANY.RUNをSOCに統合する こちらから。

NetworkSecurity