Anatomic and Clinical Laboratory Associatesは、最近発生したサイバーセキュリティインシデントについて、およそ17万人の患者に通知を行っています。また、ZenPatient、Saint Pete MRI、Carlyle Senior Care、SportsMed Physical Therapy、Lifeways Inc.でもデータ侵害が公表されています。
Anatomic and Clinical Laboratory Associates
テネシー州ナッシュビルを拠点とする医師所有の病理検査グループ、Anatomic and Clinical Laboratory Associates, P.C.は、現・元患者169,626人の保護対象保健情報(PHI)に関わる重大なデータ侵害を公表しました。
調査は、2025年12月1日に社内コンピューターネットワーク内で異常な活動が確認されたことを受けて開始されました。同社はサードパーティのサイバーセキュリティ専門家を起用し、調査支援とコンピューターシステムのセキュリティ確保にあたりました。調査の過程で、ネットワークへの不正アクセスが確認されています。侵害通知では、不正アクセスがいつ発生したのか、またネットワークがどのくらいの期間侵害されていたのかは明らかにされていません。
流出したデータのレビューは2026年4月27日に完了し、個人情報および保護対象保健情報が漏えいしていたことが確認されました。影響を受けた個人については氏名が流出したほか、生年月日、社会保障番号、納税者番号、受診日、担当医療機関名、精神的・身体的状態、医療処置・治療に関する情報、診断または臨床情報、既往歴、患者アカウント番号、カルテ番号のうち一つ以上が流出した可能性があります。
通知書は2026年6月23日に対象者宛てに郵送され、流出したデータの種類に応じて、対象者の一部には無償の信用監視サービスおよびID盗難保護サービスが提供されています。Anatomic and Clinical Laboratory Associatesは、同様のインシデントの再発を防ぐため、追加のセキュリティ対策を実施しています。
ZenPatient
カリフォルニア州サンタモニカを拠点に遠隔医療・メッセージングソフトウェアプラットフォームを提供するZenPatient, Inc.は、2025年12月から2026年2月にかけてネットワークへの不正アクセスがあったサイバーセキュリティインシデントを公表しました。2026年2月27日、同社のコンピューターネットワーク内で不審な活動が確認されました。サードパーティのサイバーセキュリティ専門家の支援を受けてインシデントの調査を行った結果、2025年12月5日から2026年2月12日にかけて何者かがネットワークに不正アクセスし、その間に特定のファイルがネットワークから流出していたことが確認されました。
流出したファイルを精査した結果、氏名、住所、生年月日、医療情報が含まれていることが判明しました。通知書は2026年7月17日に対象者へ送付されています。ZenPatientによれば、本インシデントによる患者データの悪用は現時点で確認されていないとのことですが、データ悪用への予防策として、対象者には12か月間の無償信用監視サービスが提供されています。同社は同様のインシデントの再発リスクを軽減するため、追加のサイバーセキュリティ対策を講じています。本件は規制当局に報告済みですが、影響を受けた人数は現時点で公表されていません。
Saint Pete MRI
フロリダ州セントピーターズバーグを拠点にフルサービスの画像診断・睡眠検査ラボを運営するSaint Pete MRIは、2025年2月23日前後に確認したサイバーセキュリティインシデントについて、一部の患者に通知を行っています。同社は直ちに調査と自社コンピューターシステムの保護に着手し、サードパーティのサイバーセキュリティ企業を起用してこれらの対応を支援させました。
調査の結果、電子カルテおよび画像診断システムへの不正アクセスはなかったことが確認されましたが、本件の背後にいる不正アクセス者が特定のスキャンデータを取得した可能性があります。対象ファイルのレビューが行われ、2026年4月7日、Saint Pete MRIはこれらのファイルに氏名、生年月日、社会保障番号、運転免許証番号または州発行のID番号、医療情報、および/または医療保険情報が含まれていたことを確認しました。
通知書は、インシデントが最初に確認されてからおよそ17か月後にあたる2026年7月22日に対象者宛てに郵送されました。本件は現時点で米保健福祉省(HHS)公民権局のデータ侵害ポータルには掲載されておらず、影響を受けた人数は明らかになっていません。
Carlyle Senior Care Management Company
サウスカロライナ州にあるCarlyle Senior Careの高齢者向け自立生活施設、シニアリビング施設、および専門看護施設の運営管理会社であるCarlyle Senior Care Management Companyは、4,060人分の保護対象保健情報に関わるデータ侵害をHHS公民権局に報告しました。
現時点でCarlyle Senior Careのウェブサイトに代替となる侵害通知は掲載されておらず、プレスリリースも発表されていない模様のため、どのようなデータが流出したのかは不明です。本件は、Insomniaランサムウェアグループによるランサムウェア攻撃とみられます。同グループはリークサイト上で、Carlyle Senior Care of Florenceからデータを窃取したと主張しています。Insomniaは2025年10月31日にCarlyle Senior Careへ侵害について通知したと主張したうえで、その後窃取したデータをリークしました。同グループは患者記録、内部文書、機密情報を窃取したと主張しています。
SportsMed Physical Therapy
ニュージャージー州とコネチカット州に拠点を持つ理学療法クリニック、SportsMed Physical Therapyは、単一のメールアカウントへの不正アクセスを確認しました。この侵害は2026年5月8日に確認され、当該アカウントは保護措置が取られました。その後、影響を受けた対象者とデータの種類を特定するための調査が開始されました。
このほどレビューが完了し、氏名が、受診日、担当医名、診断情報、治療情報、および/または医療保険情報のうち一つ以上と組み合わさって流出していたことが確認されました。SportsMed Physical Therapyによれば、本インシデントによる患者情報の悪用は確認されていないとのことです。本件は現時点でHHS公民権局のウェブサイトには掲載されておらず、影響を受けた人数は現時点で明らかになっていません。
Lifeways
アイダホ州およびオレゴン州の患者にメンタルヘルスカウンセリングおよび依存症治療サービスを提供する非営利団体、Lifeways Inc.は、従業員のメールアカウントへの不正アクセスを確認しました。このメールアカウントの侵害は2026年1月21日に確認され、アカウントの保護措置を取った後、不正アクセスの性質と範囲を特定するための調査が開始されました。調査の結果、複数の従業員のメールアカウントが侵害されていたことが判明しました。
本件はメール環境に限定されたインシデントでした。2026年5月8日、Lifewaysは流出した情報に氏名、生年月日、社会保障番号、運転免許証番号/州発行ID番号、金融口座番号、患者アカウント番号、カルテ番号、診断情報、治療・処置情報、処方情報、治療場所、担当医名、メディケアおよびメディケイド番号、臨床情報、医療保険情報が含まれていたことを確認しました。通知書発送の時点で、Lifewaysは流出した情報の悪用を確認していませんでした。オレゴン州司法長官には343人が影響を受けたことが報告されています。
翻訳元: https://www.hipaajournal.com/tennessee-pathology-group-data-breach/
