フロリダ州のSUD治療プロバイダー、145,700件のデータ侵害を公表

フロリダ州を拠点とする物質使用障害(SUD)治療プロバイダーのOperation PARは、14万5,700人以上に影響するデータ侵害を公表しました。このほか、テネシー州のVanderbilt Health、バージニア州のAverhealth Holdings、そしてテキサス州を拠点に全米で展開する眼鏡・検眼サービスプロバイダーのEyemart Expressも、それぞれデータ侵害を公表しています。

Operation PAR(フロリダ州)

フロリダ州ピネラス・パークを拠点に依存症治療とメンタルヘルスサービスを提供するOperation PAR, Inc.は、自社のコンピュータネットワークへの不正アクセスを確認し、現在および過去の顧客14万5,714人の保護対象保健情報(PHI)が流出したことを明らかにしました。不審な活動が同社のコンピュータネットワーク内で確認されたのは2025年6月10日のことです。同社は直ちにシステムを保護するための対応を取り、事案の性質と範囲を特定するための調査を開始しました。

事案確認からちょうど1年後、Operation PARは影響を受けたファイルに個人情報と保護対象保健情報が含まれていたことを確認しました。今回の事案で漏洩したデータには、氏名、生年月日、社会保障番号、運転免許証番号、金融口座情報、医療情報、健康保険情報が含まれます。同社はすでに、今後同様の事案を防ぐためセキュリティ強化策を講じています。

通知書は2026年6月25日から影響を受けた個人への郵送が開始され、情報を保護し不正利用や詐欺被害を防ぐためのベストプラクティスに関する情報が提供されました。ただし、信用情報監視サービスや個人情報盗難保護サービスは提供されていない模様です。通知書には明記されていないものの、この攻撃はWorldleaksという脅威グループによるものとみられます。同グループは2025年7月にOperation PARをダークウェブ上のデータリークサイトに掲載し、その後盗み出したデータを流出させました。

Eyemart Express(テキサス州)

テキサス州ファーマーズ・ブランチを拠点に全米で眼鏡・検眼サービスを展開するEyemart Expressは、2026年5月18日にHHS公民権局(OCR)へ報告したデータ侵害について、詳細情報を追加で公表しました。Eyemart Expressのネットワークの一部への不正アクセスが発見されたのは2026年2月13日です。同社は直ちにネットワークを保護する措置を講じ、不正な活動の性質と範囲を特定するための調査を開始しました。

調査の結果、第三者による不正アクセスはその前日にあたる2026年2月12日にネットワークへ侵入し、氏名、住所、生年月日、社会保障番号、処方箋情報、保険情報、眼鏡購入に関する情報を含むファイルにアクセスしていたことが確認されました。Eyemart Expressはデータセキュリティに関する方針と手続きを見直し、今後同様の事案が発生するリスクを低減するための追加対策を実施しています。今回の事案では最大25,000人の保護対象保健情報が流出した可能性があります。社会保障番号が流出した個人に対しては、無償の信用情報監視サービスおよび個人情報盗難保護サービスが提供されています。

侵害通知には明記されていないものの、これはPayoutsKingという脅威グループによるサイバー攻撃でした。同グループは、顧客情報や従業員情報を含む435GBのデータを攻撃時に窃取したと主張しています。身代金が支払われなかったため、同グループは盗み出したデータを流出させました。

Vanderbilt Health(テネシー州)

テネシー州ナッシュビルを拠点に、州内で8つの病院と180以上の外来・プライマリケア・専門クリニックを運営するVanderbilt Healthは、従業員のメールアカウントへの不正アクセスを確認しました。ある従業員がフィッシング攻撃に騙されて悪意のあるリンクをクリックした結果、認証情報が盗まれました。アカウントへの不正アクセスが検知されたのは2026年3月27日で、フォレンジック調査により、アカウントの侵害自体は2026年3月23日に発生していたことが確認されています。不正アクセスをした人物は、氏名、医療記録番号、診断情報、処置情報、担当医・施設名、入院・退院・診察日といった患者情報を含むメールおよび関連文書にアクセスできる状態にありました。

今回の侵害はメールアカウントに限定されており、電子カルテへの不正アクセスはなく、金融情報や社会保障番号も対象に含まれていません。この事案を受けてVanderbilt Healthは、メールおよびデジタルセキュリティ対策を強化するとともに、従業員向けにセキュリティ意識向上のための追加研修を実施しています。影響を受けた人数はまだ公表されていません。

Averhealth Holdings(バージニア州)

薬物依存モニタリングや診断検査、ランダム薬物検査プログラムを提供するAvertestの親会社であるAverhealth Holdingsは、9,909人分の保護対象保健情報の侵害についてHHS公民権局(OCR)に通知しました。

同社のメール環境内で不審な活動が確認されたのは2026年1月20日です。同社は事案を封じ込めるための対応を取るとともに、外部のサイバーセキュリティ専門家の支援を受けながら、事案の性質と範囲を特定するための調査を開始しました。調査の結果、2025年12月19日から2026年1月21日の間、同社ネットワークの一部への不正アクセスがあったことが判明しました。2026年5月6日、Averhealth Holdingsは、この攻撃の背後にいる脅威アクターが個人情報と保護対象保健情報を含むファイルを取得していたことを発見しました。

流出した情報の種類は個人によって異なりますが、氏名に加えて以下のうち1つ以上が含まれていました:臨床情報、診断名、デジタル/電子署名、生年月日、運転免許証番号、健康保険証券関連番号、医療費、診療日、病歴、担当医療機関名、医療記録番号、医療処置/施術情報、心身の状態、未成年者情報、患者口座番号、社会保障番号。

通知書は2026年7月2日に影響を受けた個人へ郵送されました。通知の発送時点で、Averhealth Holdingsは流出した情報の悪用を確認していませんでした。データ悪用への予防措置として、社会保障番号が流出または盗難に遭った個人には無償の信用情報監視サービスが提供されています。