CareCloudのデータ侵害、35万人以上に影響

医療IT企業のCareCloudは、少なくとも35万人に対し、データ侵害によって個人情報が盗まれたことを通知しています。

今回の事案は、CareCloud Health部門内の電子健康記録(EHR)環境に関わるもので、2026年3月16日にシステム障害が発生していました。

CareCloudの調査により、ハッカーが3月10日から3月16日の間に同社のAWS環境の1つに侵入し、そこからデータを窃取した可能性が高いことが判明しています。

6月24日、この事案で個人情報、財務情報、医療情報が漏洩したことが調査により確認されたと、同社は影響を受ける可能性のある個人に送付した通知書の中で述べています。この通知書の写しは、マサチューセッツ州消費者問題・企業規制局に提出されています。

影響を受けた可能性のある情報には、氏名、住所、社会保障番号、生年月日、運転免許証番号、政府発行ID番号、金融口座番号、クレジット/デビットカード番号、医療・健康保険情報が含まれるとしています。

複数の州の司法長官事務所への届け出によると、少なくとも35万人の情報が盗まれたことになります。

同社は対象者に対し、最長24カ月間の無料ID盗難保護、信用監視、ID盗難復旧サービスを提供しており、これには100万ドルの保険補償も含まれています。

「CareCloudは外部のサイバーセキュリティ専門家を起用し、その支援を受けて影響を受けた環境を保護し、脅威を排除し、不正アクセスが継続的に残存していないことを確認しました。CareCloudは引き続き、システムおよび環境のセキュリティ強化に取り組んでいます」と同社は述べています。

この医療機関は、影響を受けた個人の総数や、攻撃の実行者に関する詳細情報についてはまだ公表していません。SecurityWeekはCareCloudに詳細情報を求めるメールを送っており、同社から回答があり次第、本記事を更新する予定です。