歯科保険給付管理会社のDentaQuestは、2026年5月に発生したサイバーセキュリティインシデントの影響を受けた個人への通知書の送付を開始しました。影響を受けた人数の総数はまだ確定していませんが、DentaQuestは少なくとも1500万人が影響を受けたことを確認しています。HIPAA Journalの取材に応じた独立系研究者が「名前(姓+名)+生年月日」の組み合わせのユニーク数を分析したところによれば、データ精査が進むにつれてこの総数はさらに増加し、最大2340万人を超える可能性もあるとしています。
カリフォルニア州司法長官に送付された通知書によると、DentaQuestは2026年5月20日に自社のコンピューターネットワークへの不正アクセスを把握したとしています。同社は直ちにシステムの安全確保に動き、インシデントの性質と範囲を特定するためのフォレンジック調査を開始しました。調査の結果、2026年5月17日から5月20日の間にネットワークの一部への不正アクセスがあったことが確認されています。DentaQuestは、侵害された情報の種類と影響を受けた個人を特定するデータマイニング作業の支援のため、Krollと契約を結びました。
データ分析の作業は現在も続いていますが、これまでに氏名、住所、社会保障番号、会員識別番号、メディケイド番号およびメディケア番号、さらに提供者名・診断・治療・請求情報を含む歯科または視力に関する健康情報が漏えいしたことが判明しています。侵害通知には攻撃を行ったグループ名は明記されていませんが、ShinyHuntersが犯行声明を出しています(詳細は下記の2026年6月5日付の記事を参照)。
DentaQuestは影響を受けた個人に対し、24カ月間の無料クレジットモニタリングおよびID盗難保護サービスを提供しており、2026年7月17日から順次、対象者への通知書送付を開始しました。盗まれたデータはすでにオンラインに流出しているため、影響を受けた個人はこれらのサービスを利用することが推奨されています。
2026年6月5日:ハッキンググループがDentaQuestの数百万件規模のデータ侵害への関与を主張
マサチューセッツ州ウェルズリーに拠点を置き、3200万人の米国民の給付管理を手がける歯科保険給付管理会社のDentaQuestは、ネットワークの一部への不正アクセスを伴うサイバーセキュリティインシデントに現在対応中であると発表しました。同社ウェブサイトの通知によると、脅威を封じ込め軽減するための即時対応が取られており、大手サイバーセキュリティ専門家、フォレンジック調査員、および法執行当局と連携して対応にあたっているとのことです。もしこのデータ侵害が260万人に影響を及ぼしたことが確認されれば、今年これまでで最大級のヘルスケア分野のデータ侵害の一つに数えられることになります。
Sun Life U.S. Dentalの一部門であるDentaQuestは、米国内で最大のメディケイドおよび児童医療保険プログラム(CHIP)向け歯科給付管理会社であり、米国50州で事業を展開しています。同社は、インシデントの正確な範囲や機密データがどの程度侵害されたかについては、まだ特定できていません。同社は、顧客への情報提供をできるだけ迅速かつ透明性をもって行うことを約束しています。
デジタル恐喝グループのShinyHuntersが本件の犯行声明を出し、ダークウェブ上のデータ流出サイトにDentaQuestを追加しました。同グループはデータ窃取と恐喝を専門としており、DentaQuestのシステムから234GBのデータを窃取したと主張しています。ShinyHuntersはデータ流出サイト上で、盗んだデータの公開を防ぐためDentaQuestとの間で身代金支払いの交渉を試みたと説明しています。しかし、根気強く交渉を続け複数回の提案を行ったにもかかわらず、DentaQuestとの合意には至らなかったとしています。交渉が決裂した結果、ShinyHuntersは盗んだデータの流出に踏み切りました。
Have I Been Pwned(HIBP)は流出したデータを分析し、260万人分のユニークなメールアドレスに加え、氏名、住所、電話番号、生年月日、性別が含まれていることを明らかにしました。HIBPによると、流出データはヘルスケアの加入手続きファイル(ASC X12トランザクションセット)の形式で存在しており、その一部にはメディケイドID、その他の政府発行ID、健康保険情報などが含まれているとのことです。流出したレコードのうち約66%は、過去のインシデントですでに侵害されており、既にHIBPのデータベースに登録されていたものでした。
HIBPの分析では当初、社会保障番号は侵害されていないように見えましたが、データセット内に170万件を超えるユニークな社会保障番号を含むとみられるフォルダが1つ発見されており、これはテキサス州のある組織に関連付けられています。このフォルダを発見したセキュリティ研究者によると、これらは子供に関連するものとみられるとのことです。影響を受けたデータの精査には相当な時間がかかる見込みです。数十万件に及ぶファイルが窃取され、ダウンロード可能な状態で公開されています。この研究者によると、データは少なくとも2009年まで、場合によってはそれ以前まで遡るとのことです。
本記事は、社会保障番号がデータセット内に含まれている可能性が高いことを示す新たな情報が判明したため、公開後に更新されています。
翻訳元: https://www.hipaajournal.com/dentaquest-data-breach/
