大手医療ソフトウェアベンダー、サイバー攻撃を調査中

医療テクノロジー企業のCranewareは現在、サイバーセキュリティインシデントを調査しており、従業員および顧客の一部データを含む大量のデータが今回の攻撃で窃取されたことを確認しています。

Cranewareは英国企業で、主に米国の医療関連企業を顧客としています。同社は医療分野向けの会計・請求ソフトウェアを開発しており、2,000の病院・医療システム、および約10,000の薬局・クリニックと提携しています。その多くは米国内に所在しています。Cranewareのウェブサイトによれば、同社のソフトウェアとクラウドプラットフォーム「Trisus」は約1億6,500万件のユニークな患者対応を支え、5,000億ドル規模の医療費に関与しているとされています。

Cranewareの報告によると、同社はインシデント対応計画を速やかに発動し、事案を封じ込めました。これにより顧客サービスや同社の業務運営への支障は生じていないとしています。対応を支援する外部調査会社は、それ以降の侵害の兆候を確認しておらず、これは攻撃者がすでにネットワークから排除されたことを示しています。

影響を受けたデータの精査はまだ初期段階にあるものの、同社は攻撃者がシステムから排除される前に「大量のファイル名が閲覧され、外部に持ち出された」ことを確認しています。「Cranewareの従業員データの一部、および顧客・パートナーの記録の一部にアクセスがあり、外部に持ち出されました」と同社はサイバーセキュリティインシデントの通知の中で説明しています。「現時点の評価では、関係するデータの大部分は機微性の低いもの、あるいはすでに公開されている規制関連のデータであるとみられます」としています。患者データが今回のインシデントで侵害されたかどうかについては、同社はまだ確認していません。

今回のサイバー攻撃は、英国のデータ監督機関である情報コミッショナー事務局(ICO)、および米連邦捜査局(FBI)に報告されています。同社は、攻撃の背後にいる脅威アクターやグループ、環境への侵入がいつ行われたか、攻撃がいつ発見されたか、また影響を受けた顧客の名称については、いずれもまだ公表していません。

「当社は関係するすべてのデータの正確な性質と範囲について引き続き評価を進めており、顧問と協力して影響を受ける関係者を特定し、適切な通知を準備しています。これには、適用される規制上の義務に従って、関係当局への追加の通知が必要な場合にはそれも含まれます」と同社は説明しています。

近年、ソフトウェアプロバイダーや医療機器メーカーを含む医療関連ベンダーへのサイバー攻撃が相次いでいます。ベンダーは多数の医療機関の顧客と取引し、大量の機微な患者データを保有あるいはアクセス可能な立場にあることが多いため、攻撃者にとって魅力的な標的となっています。今回のインシデントがデータ窃取・恐喝を目的としたものかどうか、また身代金要求が行われたかどうかは、現時点では明らかになっていません。犯行声明を出しているハッキンググループも今のところ確認されていません。