医療請求業務を手がけるMedical Computer Business Services(MCBS)は、2025年に発生したネットワーク侵害により、120万人を超える人々の機密情報が流出したことを明らかにしました。
このセキュリティインシデントは先月末に公表されていましたが、当初は影響を受けた可能性のある人数について詳細が示されていませんでした。同社が米保健福祉省(HHS)に提出した開示資料によると、影響を受けたのは1,261,464人に上るとされています。
MCBSは米ジョージア州オーガスタに本社を置く地域密着型の民間医療請求・診療管理会社で、医療機関向けに請求、コーディング、売掛金管理、財務・事務サービスを提供しています。
同社は医療データアグリゲーターとして、医療提供者に代わって患者記録を処理する役割を担っています。
6月下旬、MCBSは自社サイトに通知を公開し、脅威アクターが2025年9月22日から26日にかけて同社ネットワークに不正アクセスしていたことを明らかにしました。
その後、同社はインシデントの範囲と影響を調べる調査を実施し、今年5月28日に完了しました。その結果、以下のデータが流出した可能性があると判明しています。
- 氏名
- 住所
- 社会保障番号
- 生年月日
- 健康保険給付受給者番号
- 健康保険証券番号
- 加入者識別番号
- 病歴
- 心身の状態
- 医療処置に関する情報
- 診断情報
なお、流出したデータの内容は個人によって異なる点に注意が必要です。
この通知では、MCBSが業務提携先として患者データを扱っていた医療提供者、いわゆる「対象事業体」も7件挙げられており、South Georgia Radiology Consultants、SkinPath Solutions、Stephen W. Brown and Radiology Associatesなどが含まれています。
MCBSは、影響を受けた可能性のある個人に対し、不正利用防止アラートの設定と、信用情報のセキュリティフリーズの検討を呼びかけています。
ジョージア州で医療サービスを受けたことがある人は、自身の医療提供者がMCBSと提携しているかどうか、また今回のインシデントで個人情報が影響を受けた可能性があるかどうかを確認するよう勧告されています。
この攻撃については、ランサムウェアグループ「PEAR(Pure Extraction and Ransom)」が犯行声明を出しており、MCBSのシステムから3.3テラバイトのデータを窃取したと主張しています。
同社が発表で流出を認めた顧客データのほかにも、この脅威アクターは人事データ、事業運営に関する詳細情報、支払い情報、メールのやり取り、各種データベースも保有していると主張しています。
データはすでにネット上に完全に流出していますが、BleepingComputerはそのキャッシュを検証しておらず、真正性を確認することはできていません。
攻撃者の先手を打つ、各防御層のテストを
セキュリティチームが実際に検知できている攻撃はわずか54%、アラートを出せているのは14%に過ぎません。残りは環境内を検知されないまま通り抜けています。
Picusのホワイトペーパーでは、侵害・攻撃シミュレーションによってSIEMやEDRのルールをテストし、検知漏れによる脅威の見逃しを防ぐ方法を紹介しています。
