- 攻撃者がUnlimited Technology Systemsから380万人分の広範な個人情報および医療情報を窃取
- 侵害の原因や手口は依然不明で、犯行声明を出したグループもなし
- 窃取されたデータは重大な詐欺リスクをもたらし、Krollによる無料の本人確認監視サービス提供へ
米国の医療関連組織Unlimited Technology Systemsは、サイバー攻撃を受け、数百万人分の機密情報が大量に流出したことを明らかにしました。
同社は最近この情報を公表し、米保健福祉省(HHS)にも詳細を共有しました。それによると、2025年10月5日に何者かが侵入し、5日間にわたって380万人強の人々の重要なデータを窃取したとのことです。
攻撃者が盗み出したのは、氏名、社会保障番号(SSN)、生年月日、メールアドレスと郵送先住所、電話番号、人口統計情報、運転免許証やその他の政府発行身分証明書のスキャン画像、保険証、問診票、健康保険の証券番号、請求・給付情報、医療記録番号、診療日、診断データです。
サプライチェーンの課題
同社は攻撃者の正体や、データ削除と引き換えに身代金を要求されたかどうかについては明らかにしていません。
現時点で犯行声明を出したハッカーはおらず、侵入の手口も不明です。攻撃グループによって手法はさまざまだからです。
例えばShinyHuntersは、被害者に電話をかけIT担当者になりすまして、リモート管理ツール経由でのアクセスを許可させる手口を好んで使います。一方、ルーターやファイアウォールなどのハードウェアの脆弱性を突こうとするグループも存在します。
いずれにせよ、犯人グループは今、価値の高いデータセットを手にしています。この種の情報は闇市場で売買されたり、なりすまし詐欺や電信送金詐欺に悪用されたりする恐れがあります。こうしたリスクを軽減するため、Unlimited Technology Systemsは影響を受けた人々に対し、Krollを通じた無料の本人確認監視サービスを提供しています。
Unlimited Technology Systemsは、医療機関向けの金融関連技術を提供するソフトウェア企業です。米国内で約4,500のクリニックと6,500の専門医療提供者と取引しており、毎年700億ドル超の医療費純額を処理しています。
BleepingComputerによると、同社は取引先企業に代わって情報を処理する立場にあるため、今回の攻撃の被害者は本来Unlimitedと直接の関係がなく、そもそも同社の名前すら聞いたことがない人がほとんどだと考えられます。
