サンシャイン・ヘルスとヘルス・ペイメント・システムズがデータ侵害を報告

フロリダ州のメディケイド・健康保険会社であるサンシャイン・ヘルスに対するビッシング攻撃により、41,000人を超える個人のPHI(保護対象保健情報)が盗まれました。また、ウィスコンシン州の医療請求業務会社であるヘルス・ペイメント・システムズでも、8,000人を超える患者に影響を及ぼすメールセキュリティインシデントが発生しています。

サンシャイン・ヘルス

フロリダ州ブロワード郡を拠点とするメディケイド・健康保険会社であるサンシャイン・ヘルスは最近、41,569人分の保護対象保健情報が不適切に開示されるビッシングインシデントを発見したことを明らかにしました。

ビッシング(音声フィッシング)は電話を通じて行われる手口で、攻撃者が対象者を騙し、デバイスや機密情報へのアクセスを引き出すというものです。今回のケースでは、信頼できる人物になりすました発信者に騙された従業員が、限られた数の健康保険プランファイルを共有してしまいました。このインシデントは2026年5月6日に発生し、同日中に発覚しました。調査が開始され、共有されたファイルの内容が精査された結果、氏名、生年月日、医療情報・病歴、および健康保険プランの加入情報が含まれていたことが判明しました。

サンシャイン・ヘルスによると、現時点で開示された情報が悪用された証拠は確認されていないとのことです。ただし、データ悪用への対策として、影響を受けた個人には無料のクレジットモニタリングおよび個人情報盗難保護サービスが提供されています。また、脅威アクターが内部システムや機密データへのアクセスを得るために用いる可能性のある手口について、従業員の認識を高めるための追加研修も実施されました。

ヘルス・ペイメント・システムズ

ウィスコンシン州を拠点とする医療テクノロジー・請求ソフトウェア会社であるヘルス・ペイメント・システムズ社は、9,380人分の保護対象保健情報の侵害について、米保健福祉省(HHS)の公民権局(OCR)に通知しました。

2025年6月27日前後、同社は自社のメール環境内で不審な活動を検知しました。直ちにアカウントを保護し、それ以上の不正アクセスを防ぐための対応が取られ、インシデントの性質と範囲を特定するための調査が開始されました。サードパーティのサイバーセキュリティ専門家の支援を受け、ヘルス・ペイメント・システムズは、2025年6月24日から2025年6月27日の間に一部の従業員のメールアカウントが権限のない第三者によってアクセスされ、一部のメールがコピーされたことを確認しました。

このインシデントの調査と影響を受けたデータの精査には1年以上を要しました。HHSの公民権局には2026年7月10日にデータ侵害の報告が行われ、現在、影響を受けた個人への通知書の郵送が進められています。今回のインシデントで流出したデータには、氏名、住所、生年月日、ID、加入者ID、および被保険者個人IDが含まれていました。また、一部の個人については、医療情報、健康保険情報、社会保障番号も対象となっていました。

影響を受けた個人には無料のクレジットモニタリングおよび個人情報盗難保護サービスが提供されており、給付明細書(EOB)や口座明細書にデータ悪用の兆候がないか注意するよう呼びかけられています。ヘルス・ペイメント・システムズは、セキュリティポリシーを強化し、同様のインシデントの再発を防ぐための追加のサイバーセキュリティ対策を実施したとしています。