Clover Health Investmentsは、2026年7月4日に初めて確認されたサイバーセキュリティインシデントについて、米証券取引委員会(SEC)に報告しました。Clover Health Investmentsは、メディケア・アドバンテージプランを提供する上場健康保険会社で、米国政府と直接契約を結び、11州のメディケア受給者向けに医療管理を行っています。同社は医師向けにテクノロジーおよびソフトウェアツールも提供しています。
不審なログイン活動が確認され、フォレンジック調査により、ソーシャルエンジニアリングによって認証情報を開示するよう騙された従業員から、ハッカーが3件の従業員メールアカウントにアクセスしていたことが判明しました。Clover Healthはインシデント対応計画を発動してこの事態を封じ込め、不正アクセスはすでに終了しているとの見解を示しています。
Clover Healthによると、侵害されたアカウントは、会員の受診予約管理やブローカー向け営業業務を担当する非管理職の健康保険プラン担当従業員のものでした。これらのアカウントには企業の財務システムや請求システムへのアクセス権限はありませんでしたが、一部の個人情報や保護対象保健情報(PHI)にはアクセス可能でした。
流出したデータの量はまだ判明しておらず、Clover Healthは自社システムから機微なデータが持ち出されたかどうかについて、現時点で公式には確認していません。Clover Healthはこのインシデントを法執行機関に報告済みで、第三者のサイバーセキュリティ専門家と連携し、公開・閲覧・持ち出しされた情報の調査とレビューを進めています。
Clover Healthは、今回のインシデントが事業運営、財務状況、経営成績に重大な影響を及ぼしたとは考えていないとしています。HIPAAで保護されたデータが公開または窃取されたと判断された場合には、影響を受けた個人に通知書を郵送する方針であり、同様のインシデントの再発を防ぐためセキュリティ強化の対応を進めていることも確認しています。
翻訳元: https://www.hipaajournal.com/clover-health-data-breach/
