医療機関5社が相次いでデータ侵害を公表

米国の中小規模の医療機関5社が、患者データが漏えいするセキュリティインシデントを経験したことを相次いで公表しました。対象となったのは、Family Medical Associates of Raleigh、Arkansas Oral & Maxillofacial Surgeons、Alpine Agency of the Midlands、Princeton Family Eye Care、James C. Standring, DDSの5機関です。

Family Medical Associates of Raleigh(ノースカロライナ州)

ノースカロライナ州ローリーで複数の医師が在籍する家庭医療クリニック、Family Medical Associates of Raleighは、2026年5月7日にサイバーセキュリティインシデントの可能性を検知し、インシデント対応プロトコルを発動しました。直ちに調査・封じ込め・復旧の措置が取られ、法執行機関への通報とサードパーティのサイバーセキュリティ専門家への依頼も行われました。調査とデータ精査は現在も継続中ですが、2026年4月18日から4月20日にかけて、権限のない第三者が一部のシステムに断続的にアクセスし、患者の保護対象保健情報を含む内部データをダウンロードした可能性があることが確認されています。

データ精査はまだ完了していませんが、今回のインシデントで漏えいしたデータの種類には、氏名、人口統計情報、連絡先情報、医療・治療情報、健康保険情報、財務・支払い関連情報、政府発行のID番号、その他提供された医療サービスに関連するデータが含まれます。Family Medical Associates of Raleighは、このインシデントに起因する患者データの実際の悪用や悪用の試みは確認されていないとしていますが、患者に対しては、口座やクレジットレポート(無料)、保険金給付明細書などを定期的に確認し、なりすまし被害や詐欺への警戒を続けるよう呼びかけています。

調査がまだ完了していないため、影響を受けた人数は現時点では不明です。攻撃を行った脅威アクターの名前は公表されていませんが、ランサムウェアグループ「Genesis」が犯行声明を出しています。

Arkansas Oral & Maxillofacial Surgeons(アーカンソー州)

アーカンソー州ホットスプリングスを拠点に、口腔外科手術やデンタルインプラント、その他の歯科・審美歯科サービスを提供するArkansas Oral & Maxillofacial Surgeonsは、2026年4月7日に最初に検知されたデータセキュリティインシデントを公表しました。

調査が開始され、2026年6月2日、権限のない第三者が同社のネットワークにアクセスし、患者情報を含むファイルを窃取していたことが確認されました。該当ファイルの精査が行われた結果、氏名、連絡先情報、生年月日、医療記録番号、政府発行の身分証明書番号(社会保障番号を含む)、診断情報、治療記録、健康保険情報、処方履歴、支払い情報などが含まれていたことが判明しています。

影響を受けた患者には郵送で通知が行われ、データ悪用から身を守るための対策についての推奨事項が案内されました。Arkansas Oral & Maxillofacial Surgeonsのウェブサイトに掲載された代替違反通知によると、クレジットモニタリングやID盗難保護サービスの提供は行われていないようです。このインシデントは米保健福祉省(HHS)公民権局(OCR)の違反ポータルにはまだ掲載されておらず、影響を受けた患者数は不明です。

今回のインシデントはデータ窃取・恐喝を目的とした攻撃とみられます。脅威グループ「PEAR」が犯行声明を出しました。PEARはファイルを暗号化せず、データを窃取したうえで、身代金が支払われなければ盗んだデータを公開すると脅迫する手口を用いるグループです。

Alpine Agency of the Midlands(サウスカロライナ州)

サウスカロライナ州コロンビアを拠点とする独立系の健康保険・福利厚生保険会社、Alpine Agency of the Midlands, LLCは、メールシステムへの不正アクセスに関するセキュリティインシデントを最近公表しました。Alpineは保険会社、雇用主、健康保険プランにサービスを提供しており、業務に関連して顧客から一定の健康データの提供を受けています。

2025年11月、従業員のメールアカウント内で不審な活動が検知されました。同アカウントは直ちに保護され、不正アクセスの性質と範囲を特定するための調査が開始されました。調査の結果、今回のインシデントは単一のメールアカウントに影響を及ぼしたものであり、権限のない第三者が最初にアクセスしたのは2026年10月28日であったことが確認されています。攻撃者によってメールおよび関連する添付ファイルがコピーされた可能性があります。

該当アカウントを精査した結果、氏名(姓名)、住所、生年月日、健康保険情報、および一部の社会保障番号が含まれていたことが判明しました。精査完了後、影響を受けた個人には郵送で通知が行われる予定です。それまでの間、今回の違反はHHS公民権局に対し、少なくとも500人に影響を及ぼすものとして報告されています。この件数はファイルの精査が完了次第、更新される見込みです。

Princeton Family Eye Care(テキサス州)

テキサス州プリンストンの小規模な検眼クリニック、Princeton Family Eye Careは、最近発生したデータ侵害について一部の患者に通知を行いました。2026年5月4日、メール環境内で不審な活動が検知されました。サードパーティのサイバーセキュリティ専門家の支援を受け、同クリニックはメールシステムを保護したうえで活動を調査し、権限のない第三者によって会社のメールアカウントにアクセスされていたことを確認しました。

関係するデータの種類と影響を受けた患者を特定するため、データ精査会社に調査が依頼され、この作業は最近完了しました。今回のインシデントで漏えいしたデータは個人によって異なりますが、氏名に加え、生年月日、連絡先情報、政府発行の身分証明書番号(運転免許証番号、パスポート番号、社会保障番号など)、限定的な医療情報(治療内容、健康保険記録、医療記録番号など)のいずれか一つ以上が含まれていた可能性があります。

該当情報の悪用は確認されていませんが、影響を受けた患者には、情報の悪用に対する警戒を続けるよう呼びかけが行われています。今回の違反はテキサス州司法長官に対し、933人のテキサス州住民のデータに関わるものとして報告されました。

James C. Standring, DDS(カリフォルニア州)

カリフォルニア州クレセントシティの歯科医院、James C. Standring, DDSは、コンピューターシステムへの不正アクセスを伴うデータセキュリティインシデントについて、6,658人の患者に通知を行いました。今回のデータ侵害はHHS公民権局に2026年7月17日付で報告されましたが、これは過去に発生したインシデントであったとみられます。

同歯科医院のウェブサイトに掲載された違反の説明によると、一部のコンピューターシステムへの不正アクセスが最初に確認されたのは2024年9月2日でした。サードパーティのサイバーセキュリティ専門家の支援を受けて調査した結果、今回のインシデントにより、氏名、住所、メールアドレス、社会保障番号、運転免許証番号・州発行ID番号、医療情報、健康保険情報、金融口座・決済カード情報、その他同医院が保有するその他の個人情報を含む、現旧患者のデータが漏えいしたことが判明しています。

該当データの悪用は確認されていませんが、患者にはなりすまし被害や詐欺への警戒を続けるよう呼びかけが行われています。発覚から通知書の発送までになぜ22カ月もの期間を要したのかについては、説明がありませんでした。