米オハイオ州の医療債権管理会社でサイバーセキュリティインシデントが発生、患者データが流出

Unlimited Technology Systems、Meridian Health Plan of Illinois、Little Flower Children and Family Servicesにおいて、セキュリティインシデントにより患者データが流出したことが明らかになりました。

Unlimited Technology Systems

オハイオ州モンゴメリーを拠点とする医療債権管理(revenue cycle management)会社であり、診療管理ソフトウェアプロバイダーでもあるUnlimited Technology Systems LLC(UTS)は、商用データセンター内で不正な活動を確認したと発表しました。このデータセンターには、同社の医療機関顧客の患者に関する個人情報および保護対象保健情報(PHI)が保存されていました。

データ漏えい通知書によると、不正な活動が確認されたのは2025年10月19日です。サードパーティのサイバーセキュリティ・デジタルフォレンジック企業の支援を受けた調査の結果、UTSは2025年10月5日から10月10日の間に、不正な第三者が当該環境からファイルのコピーを取得した可能性があると判断しました。

データ精査は最近完了し、UTSは以下の情報が流出した可能性があると確認しています。氏名、住所、メールアドレス、電話番号、生年月日、健康保険情報、患者の残高情報、社会保障番号、診断名を含む医療情報、そして運転免許証やその他の政府発行身分証明書のスキャン文書です。なお、完全な医療記録、医療画像、財務情報は含まれていなかったとUTSは説明しています。

データ悪用への予防措置として、影響を受けた個人には24カ月間の無償クレジットモニタリングサービスが提供されており、UTSは今後同様のインシデントを防ぐためセキュリティ対策を強化しています。なお、本インシデントは米保健福祉省(HHS)の市民権局(Office for Civil Rights)のデータ漏えいポータルにはまだ掲載されておらず、影響を受けた人数は不明です。

Meridian Health Plan of Illinois

政府支援によるマネージドケアサービスを提供するMeridian Health Plan of Illinoisは、21,027人に影響するデータ漏えいを公表しました。このインシデントは、Meridianのプロバイダーポータルへの不正アクセスが確認された2026年4月28日に検知されました。同ポータルは、医療提供者が患者情報を管理し、請求処理を行うために使用するものです。

不正アクセスは阻止され、侵害の性質と範囲を特定するための調査が開始されました。Meridian Health Planは、会員氏名、連絡先情報、生年月日といった個人を特定できる情報に加え、会員ID番号、健康保険プラン名、資格・請求情報、医療提供者情報といった保護対象保健情報が流出したことを確認しています。通知書の発送時点では、流出した情報の悪用は確認されていませんでした。また、クレジットモニタリングやID盗難保護サービスは提供されていないようです。

Little Flower Children and Family Services

発達障害を持つ個人とその家族に支援サービスを提供する、ニューヨークを拠点とするLittle Flower Children and Family Servicesは最近、直近のセキュリティインシデントで一部の情報が流出したことを通知する書簡を対象者に送付しました。

2026年3月20日に異常なネットワーク活動が確認され、フォレンジック調査により2026年3月12日から2026年3月20日の間にネットワークへの不正アクセスがあったことが確認されました。流出した具体的な情報を特定するための調査は現在も継続中ですが、Little Flower Children and Family Servicesは、今回のインシデントで漏えいした可能性が高いデータの種類として以下を挙げています。

氏名、住所、電話番号、メールアドレス、生年月日、社会保障番号、運転免許証番号、州発行ID番号、納税者番号、パスポート番号、金融口座情報、支払いカード情報、電子署名、生体情報、診断・治療情報、処方箋情報、Medicare/Medicaid番号、健康保険情報、治療費情報です。影響を受けた個人には無償のクレジットモニタリングおよびID盗難保護サービスが提供されており、同様のインシデントを防ぐためのセキュリティ強化策も講じられています。