米ジョージア州オーガスタを拠点とするヘルスケア管理・診療報酬管理会社のMCBS, LLCは、HIPAA対象事業者である複数の顧客企業の患者1,261,464人分の保護対象保健情報(PHI)が関わる大規模なデータインシデントを発表しました。 不正なネットワークアクセスが検知されたのは2025年9月25日前後のことです。同社はインシデントを封じ込めて不正アクセスを調査するための対応を直ちに開始し、調査支援のためサードパーティのサイバーセキュリティ専門家も起用しました。
専門家の調査により、2025年9月22日から9月25日の間に不正なネットワークアクセスが行われていたことが確認され、保護対象保健情報を含むファイルが閲覧された、あるいは同社ネットワークから外部に持ち出された可能性があることも判明しました。 影響を受けたデータの精査は2026年5月28日に完了し、今回のインシデントで漏えいした可能性のある情報として、氏名、住所、生年月日、社会保障番号、既往歴、精神疾患・身体疾患に関する情報、診断情報、医療処置情報、健康保険の受給者情報、健康保険証券番号・被保険者番号、その他の健康保険関連情報が含まれることが確認されました。
MCBSは、自社のセキュリティポリシーおよび手順について継続的な評価と強化を行っており、今後もその取り組みを継続していくとしています。今回影響を受けたHIPAA対象事業者は以下の通りです。
- C&C MD PC
- Nuclear Medicine and Pathology Associates
- Radiation Oncology Associates, LLP
- SkinPath Solutions, LLC
- South Georgia Radiology Consultants PC
- Stephen W. Brown & Radiology Associates of Augusta, LLP
- Vascular Radiology Associates II, LLP
MCBSはデータ侵害通知の中で今回の攻撃の背後にいる脅威グループについて明らかにしていませんが、PEARという脅威グループが犯行声明を出しています。PEAR(Pure Extortion and Ransomの略)はデータの窃取と恐喝を行うグループで、ファイルを暗号化するランサムウェアは使用しません。PEARは今回の攻撃で3TB分のデータを外部に持ち出したと主張しており、身代金の支払いが行われなかったことを受けて、盗み出したデータを自らのリークサイトで公開しています。
翻訳元: https://www.hipaajournal.com/mcbs-cyberattack-data-breach/
