Unlimited Technology Systemsで発生したデータ侵害、380万人に影響

ヘルスケア向けソフトウェア企業Unlimited Technology Systemsは、2025年10月に発生したデータ侵害事案により、380万人以上が影響を受けたと報告しました。

同社は今年7月1日、被害者数を明らかにしないまま、データ侵害通知のサンプルを当局に提出していました。

米保健福祉省(HHS)のデータ侵害通知ポータルへの登録内容によると、同社のサーバーが侵害され、380万3,750人分のデータが権限のない第三者に流出したことが明らかになっています。

Unlimited Technology Systemsは、専門医療機関向けに財務・収益サイクル関連のテクノロジーを提供するソフトウェア企業です。同社のウェブサイトによると、全米4,500の診療所と6,500の専門医療機関にサービスを提供しており、年間700億ドルを超える医療費請求を処理しています。

同社は2025年10月、自社の商用データセンター内で不審な活動を検知し、調査を開始しました。その結果、ハッカーが5日間にわたって特定のファイルにアクセスしていたことが判明しました。

「2025年10月19日、Unlimited Technology Systemsは商用データセンター内で不審な活動を検知し、サイバーセキュリティ・フォレンジック企業の支援を受けて調査を開始しました」と、同社は2026年7月20日付けで公表しています。

「その調査により、2025年10月5日から2025年10月10日の間に、権限のない第三者がファイルにアクセスし、Unlimitedがサービスを提供する医療機関の患者に属する個人情報のコピーを取得した可能性があることが判明しました」

今回の事案で流出した可能性のあるデータの種類は以下の通りです。

• 氏名
• 社会保障番号
• 生年月日
• メールアドレスおよび郵送先住所
• 電話番号
• 人口統計情報
• 運転免許証やその他の政府発行身分証明書のスキャンデータ
• 保険証
• 問診票
• 健康保険の証券番号
• 保険金請求および給付に関する情報
• 医療記録番号
• 診療日
• 診断情報

同社はこの事案について法執行機関に通報し、2026年7月1日から影響を受けた患者へのデータ侵害通知の送付を開始しました。

通知によると、これまでのところランサムウェアやデータ恐喝グループがこの事案への関与を公に主張しておらず、Unlimited Technology Systemsも実行者を特定できていません。

Unlimited Technology Systemsは医療機関に代わって情報を処理する立場にあるため、影響を受けた患者は通常同社と直接の取引関係を持っておらず、同社からデータ侵害の通知を受け取っても戸惑うケースが少なくありません。

機密データの流出によって生じるリスクを軽減するため、通知を受け取った対象者にはKroll社を通じたID監視サービスが提供されています。