ニュージャージー州を拠点とするヘルスケア技術プロバイダーのCareCloud, Inc.は、何者かが同社がAWS上でホストする電子健康記録(EHR)環境の一つに不正アクセスしたことを受け、少なくとも345,000人から350,000人に影響するデータセキュリティインシデントが発生したことを認めました。
2026年7月1日付で更新された通知によると、この侵害により、同社のヘルスケアプロバイダーネットワーク全体の患者に関わる健康情報、保険情報、そして一部のケースでは金融情報が混在して流出しました。
CareCloudは2026年3月16日、同社が運用する6つの電子健康記録環境のうちの一つに影響するネットワーク障害を、CareCloud Health部門内で検知しました。
その後の同社によるフォレンジック調査で、2026年3月10日から3月16日の間に何者かがCareCloudのAWS環境の一つに不正アクセスし、その環境内のデータベースからデータを窃取したと主張していたことが判明しました。
カリフォルニア州司法長官事務所に提出された規制当局向け届出によると、攻撃者は少なくとも6日間連続でEHRデータストアへのアクセスを維持しており、その後、外部のサイバーアドバイザリー企業と協力したCareCloudの対応チームが侵入を封じ込めました。
3月下旬の当初の開示では、8時間のサービス中断があったと説明されており、CareCloudは同日中に機能を復旧させ、当初はデータが実際に窃取されたかどうか不明としていました。
しかし2026年6月24日までに、同社によるより詳細なフォレンジック調査で機密データが実際に影響を受けていたことが確認され、州法および連邦法上の情報漏えい開示義務に基づく正式な通知が必要となりました。
CareCloudの通知によれば、影響を受けたデータは個人によって異なるものの、一般的にはフルネームに加え、自宅住所、生年月日、社会保障番号、運転免許証番号、健康保険の会員番号、保険会社名、証券番号やグループ番号、主治医・紹介医の情報、服用薬、アレルギー、その他の人口統計情報や健康保険情報のうち1つ以上が組み合わさって含まれていました。
一部の限られた対象者については、CVV番号を含む完全なクレジットカード情報も流出しており、この小規模なグループについては通常の医療関連ID盗難を超えるリスクが生じています。
本稿執筆時点で、この攻撃について公にランサムウェアや恐喝グループが犯行声明を出した事実はなく、脅威アクターの正体は明らかになっていません。
CareCloudは外部のサイバーセキュリティ専門家を起用し、影響を受けたAWS環境の保護、脅威の排除、そしてその後不正アクセスが継続していないことの確認に当たりました。
同社はまた法執行機関にもこのインシデントを報告しており、2026年3月16日以降、同社の環境内で不正な活動が確認された証拠はないとしています。
EHRプラットフォームを通じて45,000以上の医療プロバイダーにサービスを提供するCareCloudは、今回の侵入は単一の環境内にとどまっており、他のシステムやクライアント向けプラットフォームには影響していないとしています。
CareCloudは、自身の情報が今回の件に関与していたかどうかを確認したい対象者向けに、専用の秘密相談窓口(800-411-9670、月曜から金曜、東部時間午前9時から午後5時まで対応)を設けています。
同社は影響を受けた個人に対し、3大信用情報機関のいずれか一つに1年間の詐欺警告(フラウドアラート)を登録するよう勧めています。1社に通知すれば残る2社にも自動的に通知が届く仕組みです。また、Equifax、Experian、TransUnionの各社に無料で申請できるクレジットフリーズの利用も検討するよう呼びかけています。
CareCloudの発表によれば、現時点で今回のインシデントに直接起因すると確認された不正利用の事例は把握していないとしていますが、念には念を入れてこうした予防策を推奨しているとのことです。
今回の侵害は、クラウドでホストされるヘルスケアインフラへの監視の目が強まっていることを浮き彫りにしています。攻撃者は、多くの医療提供組織から保護対象の医療情報を一括して集約するサードパーティ製SaaS環境をますます標的にするようになっています。
SOC調査の死角を解消し、ANY.RUNで脅威を早期に封じ込めることで、対応コストと業務中断を削減しましょう。
翻訳元: https://cyberpress.org/carecloud-ehr-breach-exposed/