DentaQuestの情報漏えい、被害者は1,500万人に——2026年に報告された米国医療データ漏えいで過去最大規模

1,500万人以上が、今、非常に個人的な問題を抱えることになるかもしれません。歯科診療記録や政府発行のID、健康情報がハッカーの手に渡っている可能性があるのです。

米国の大手歯科・視力給付管理会社DentaQuestは、2026年5月に発生したサイバー攻撃により機密性の高い個人情報および健康情報が漏えいしたとして、影響を受けた個人への通知を開始しました。

Healthcare Diveによると、同社は連邦規制当局に対し1,500万人が影響を受けたと報告しており、これは今年これまでに米保健福祉省（HHS）に報告された医療データ漏えい事件としては最大規模となります。HIPAA Journalが引用した独立系研究者の推計では、流出したデータには2,340万人を超える人々が関与している可能性があるとされており、この人数はさらに増える可能性があります。 

DentaQuestは5月20日にこのインシデントを発見し、ネットワークの一部への不正アクセスが5月17日から5月20日にかけて発生していたことを確認しました。同社はKrollを雇用し、漏えいした情報の特定と影響を受けた対象者の確認を進めています。

ハッキングで流出した情報

漏えいした情報は個人によって異なりますが、氏名、住所、社会保障番号、会員ID番号、MedicaidおよびMedicareの番号、歯科・視力に関する健康情報が含まれていた可能性があります。DentaQuestの漏えい通知によると、こうした健康情報には診療医の氏名、診断内容、治療の詳細、請求情報が含まれる場合があるとしています。

流出した情報はこれらの区分にとどまらない可能性もあります。Have I Been Pwnedは以前、流出データの中に260万件の重複のないメールアドレスが含まれていることを確認しており、氏名、住所、電話番号、生年月日、性別も含まれていました。あるフォルダには170万件を超える重複のない社会保障番号が含まれていたと伝えられています。

DentaQuestは攻撃者を公式には特定していません。しかし、HIPAA Journalによると、恐喝グループのShinyHuntersが犯行声明を出し、同社から窃取したとされる約234GBのデータを流出させたと報じられています。

数字以上に深刻な問題

DentaQuestは歯科・視力保険プランを通じて約3,200万人にサービスを提供しており、今回の情報漏えいが及ぶ範囲は潜在的に非常に大きいといえます。さらに重要なのは、流出した情報が通常の個人識別データと、医療情報や政府発行の識別情報を組み合わせたものである点です。

こうした組み合わせにより、単純なメールアドレスとパスワードの流出に比べて、盗まれた記録がなりすましや詐欺により悪用されやすくなる恐れがあります。また、情報が一度オンラインに公開されてしまうと、被害を封じ込めることも困難になります。DentaQuestは7月17日から通知書の郵送を開始し、影響を受けた個人に対して24カ月間の信用情報監視、詐欺に関する相談、なりすまし被害の復旧サービスを提供しています。

消費者が取るべき対応

DentaQuestから漏えい通知を受け取った人は、提供される監視サービスを活用し、信用情報レポートや金融口座に不審な動きがないか注意する必要があります。

今回のインシデントは、情報漏えいへの対応には限界があることも示しています。監視サービスは不正利用の検知には役立ちますが、すでに流出してしまった社会保障番号や医療記録、政府発行の識別情報そのものを消し去ることはできません。DentaQuestの調査は現在も継続中であり、影響を受けた人数の最終的な確定や、流出したデータの全容の解明はまだ行われていません。

関連記事: 今回のDentaQuestのインシデントは、別の大規模な MCBSに関わる医療データ漏えい事件に続くものであり、同事件では攻撃者が120万人以上の個人情報および医療情報を流出させました。