MCBS、医療関連データ侵害で126万人に影響

医療請求業務を手がける企業へのサイバー攻撃により、126万人を超える人々の情報が漏えいした可能性があることが明らかになりました。この事案は、医療業界における最大級のセキュリティリスクが病院そのものの外部に潜んでいることを改めて浮き彫りにしています。

米国の医療機関向けソフトウェアベンダーであるMedical Computer Business Services(MCBS)は、攻撃者が2025年9月22日から26日の間に同社ネットワークへ不正アクセスしたことを公表しました。

この侵入は攻撃発生時に検知されていたものの、同社が影響を受けた個人への通知を開始したのは、5月下旬に終了した約8か月間に及ぶ調査を経てからのことです。

複数の報道では、この事案がPEARランサムウェアグループによるものだとされており、同グループは3.3テラバイトのデータを窃取したと主張しています。ただし、MCBSは不正な攻撃者がシステムにアクセスし、ファイルを取得した可能性があるという点のみを確認しています。

MCBSの侵害はどのように発生したか

BleepingComputerによると、同社は先月下旬にこの事案を公表しました。しかし同社が正確に1,261,464人に影響したとするこのハッキング事件は、2025年にまでさかのぼります。

MCBSは、攻撃者がどのようにネットワークへアクセスしたのか、あるいはどのように窃取されたデータにアクセスし持ち出すことに成功したのかについて、技術的な詳細を明らかにしていません。ただし同社の発表によれば、2025年9月25日に自社ネットワークで「不正アクセスが発生した」としています。

この発見を受け、同社は直ちに外部のサイバーセキュリティ専門家に連絡を取り、事案を封じ込めた上で、影響範囲を特定するための調査を開始しました。

Pure Extraction And Ransom(PEAR)というハッキンググループがこの侵害の犯行声明を出し、その後、攻撃中に窃取したとする3.3テラバイトのデータをダンプ(公開)しました。同グループは、流出した情報の中でも人事情報、業務情報、メッセージング関連情報、そして取引先企業のデータを強調しています。

MCBSは5月28日に調査を終了し、実際に自社ネットワークからデータが窃取されたことを確認しました。ただし、同社はこの事案をPEARによるものと断定しておらず、同グループが主張する3.3テラバイトという数字についても検証していません。

誰が、何が影響を受けたのか

MCBSは、医療請求、保険金請求処理、患者口座管理などを含む収益循環管理(レベニューサイクルマネジメント)サービスを、複数の米国医療機関向けに提供しています。そのため、今回の侵害は一企業にとどまらず、はるかに広範囲へと及びました。

米ジョージア州を拠点とする同社によれば、漏えいした情報は個人ごとに異なるものの、氏名、住所、生年月日、社会保障番号、健康保険加入者番号、医療保険番号が含まれる可能性があるとしています。

そのほか、病歴、患者の精神的・身体的状態、治療内容、診断結果も含まれています。

MCBSはまた、提携する7つの医療機関が影響を受けたことにも言及しています。対象となる医療機関は以下の通りです。

• C&C MD PC
• Nuclear Medicine and Pathology Associates
• Radiation Oncology Associates, LLP
• SkinPath Solutions, LLC
• South Georgia Radiology Consultants PC
• Stephen W. Brown & Radiology Associates of Augusta, LLP
• Vascular Radiology Associates II, LLP

今回の侵害の広がりは、医療機関にとって繰り返し発生しているサイバーセキュリティ上の課題を浮き彫りにしています。すなわち、攻撃者は個々の医療機関を個別に狙うのではなく、複数の医療機関の機密データを一元的に管理するサードパーティベンダーを標的にする傾向を強めているという点です。これにより、単一の侵入がまたたく間に多数の組織へと波及し、はるかに多くの個人が影響を受けることになります。

影響を受けた個人および医療機関が取るべき対策

PEARランサムウェアグループが窃取したデータを公開したと主張しており、MCBSも機密性の高い患者情報がアクセスされた可能性を認めていることから、影響を受けた個人は、なりすまし被害、医療詐欺、フィッシング攻撃の兆候に引き続き警戒する必要があります。

個人は、金融口座、保険口座、医療関連口座の動向を注意深く監視するとともに、不正利用警戒(フロードアラート)やクレジット情報凍結(セキュリティフリーズ)を設定し、定期的に信用情報レポートを確認することが望まれます。まだ不審な動きに気づいていない人であっても、窃取されたデータは侵害発生からかなり時間が経ってから再利用や転売されることが多いため、引き続き注意が必要です。

サードパーティベンダーを利用している企業は、ベンダーによる患者データへのアクセス状況を棚卸しし、最小権限の原則と多要素認証を適用し、異常なデータ持ち出しを監視するとともに、明確な侵害通知の要件を確立しておくべきです。

あわせて読みたい: A CareCloudのセキュリティ事案では患者データが流出し、同社が持つ6つの電子カルテ(EHR)環境のうち1つが機能停止に陥りました。この事例は、医療関連SaaSにおける侵害が業務そのものに及ぼすリスクの大きさを浮き彫りにしています。