HIPAA規制対象事業者5社がデータ侵害を発表

フロリダ州のWomen’s Center for Radiology、ミシガン州のOptalis Management Solutions、ニューヨーク州のAssociation for Neurologically Impaired Brain Injured、ロードアイランド州のCardiovascular Institute of New England、そしてテキサス州のKubota Tractor Corporationが、相次いでデータ侵害を発表しました。

Women’s Center for Radiology(フロリダ州)

オーランドに2カ所の拠点を持つフロリダ州の女性向け放射線科診療施設Women’s Center for Radiologyは、2026年4月29日に判明したデータセキュリティインシデントについて、患者66,422人に通知しました。同施設はサードパーティのサイバーセキュリティ専門家の支援を受け、2026年4月26日から2026年4月28日の間に権限のない第三者がネットワークにアクセスし、患者情報を含むファイルにアクセスまたはダウンロードしたことを確認しました。

ネットワークの安全確保後にファイルを精査した結果、氏名、住所、生年月日、連絡先情報、診断・病状情報、検査結果、担当医・紹介医の氏名、医療記録番号、運転免許証番号、健康保険情報などの患者情報が含まれていることが判明しました。同施設は今後同様のインシデントが発生する可能性を減らすため、データのプライバシーおよびセキュリティに関する方針・手順・プロセスを見直しています。データの不正利用は確認されていませんが、予防措置として、影響を受けた個人には無料の信用監視サービスおよび身元盗難保護サービスが提供されています。

Optalis Management Solutions(ミシガン州)

Optalis Health & Rehabilitationの熟練介護・リハビリ・アシステッドリビング・自立生活施設を運営するミシガン州の運営会社Optalis Management Solutionsは、保護対象保健情報(PHI)の一部が侵害されたとして13,723人に通知しました。同社のコンピューターネットワーク内で不審な活動が確認され、調査の結果、2025年4月14日から2025年4月19日の間に不正アクセスが発生していたことが裏付けられました。サードパーティのサイバーセキュリティ専門家によって侵害が確認された後、影響を受けた個人およびデータ種別を特定するための文書精査が開始され、このプロセスは2026年6月10日に完了しました。

本インシデントで閲覧または取得された可能性があるデータには、氏名に加え、社会保障番号、運転免許証番号・州発行ID番号、クレジットカード・デビットカード情報、金融口座情報、診断・治療情報、および/または健康保険証券番号のいずれか一つ以上が含まれます。通知書は2026年6月29日に対象者へ郵送されており、社会保障番号が関係する個人には無料の信用監視サービスが提供されています。

Kubota Tractor Corporation(テキサス州)

農業機械・建設機械メーカーである日本企業クボタの米国法人、Kubota Tractor Corporationは最近、今年初めにハッカーが自社ネットワークの一部に侵入していたことを確認しました。フォレンジック調査の結果、ネットワークは2026年3月16日に最初に侵害され、ハッカーは1カ月以上にわたってアクセスを維持していたことが判明しています。不正アクセスは2026年4月20日に検知・遮断されました。テキサス州グレープバインに米国本社を置く同社は、本インシデントが従業員福利厚生プラン(Employee Welfare Benefit Plan)の受給者の保護対象保健情報への不正アクセスを伴うものであったことから、HIPAAに基づく報告義務のある侵害に該当すると判断しました。

本インシデントで漏えいした可能性のある従業員データには、氏名に加え、社会保障番号、生年月日、納税者番号、運転免許証その他の政府発行身分証明書番号、口座振込用の金融口座情報、法人カードの決済カード情報、福利厚生加入情報、および一部の保険金請求情報のいずれか一つ以上が含まれます。従業員の扶養家族については、氏名に加え、社会保障番号、生年月日、福利厚生加入情報、および一部の保険金請求情報のいずれか一つ以上が漏えいした可能性があります。通知書は影響を受けた5,891人に対し2026年6月30日に郵送されており、無料の身元監視サービスが提供されています。

Cardiovascular Institute of New England(ロードアイランド州)

ロードアイランド州内に7カ所の拠点を持つ心臓治療専門施設Cardiovascular Institute of New Englandは、2026年2月12日前後に判明したデータセキュリティインシデントについて、2026年7月28日から患者への通知書の郵送を開始しました。同施設のメール環境内で不審な活動が確認され、調査の結果、不正なメールアクセスが発生し、患者データが閲覧または取得された可能性があることが裏付けられました。

影響を受けたメールアカウントの精査は2026年7月14日前後に完了し、同施設はその際、氏名、電話番号、生年月日、金融口座番号、医療情報、診断内容、治療情報、治療場所、臨床情報、処方情報、医療保険提供者情報が漏えいしていたことを把握しました。患者データが不正利用されたことを示す証拠は現時点で確認されていません。

同施設ではメールセキュリティに関する方針・手順・セキュリティ対策の見直しが進められており、今後同様のインシデントが発生するリスクを減らすための対策が講じられています。データの不正利用に対する予防措置として、影響を受けた個人には無料の信用監視サービスおよび身元盗難保護サービスが提供されています。なお本インシデントは、米保健福祉省(HHS)公民権局(OCR)の侵害ポータルにはまだ掲載されておらず、影響を受けた人数も公表されていません。

Association for Neurologically Impaired Brain Injured(ニューヨーク州)

発達障害・神経障害のある人々を支援するニューヨーク州の非営利団体Association for Neurologically Impaired Brain Injured(ANIBIC)は最近、対象者1,918人の保護対象保健情報の侵害についてHHS公民権局(OCR)に報告しました。同団体の代替侵害通知によると、2026年3月8日前後に自社のコンピューターネットワーク内で不審な活動が確認されました。調査の結果、権限のない第三者が2026年3月7日から2026年3月8日の間にプログラム参加者の情報を含むファイルにアクセスしたことが判明しています。

漏えいした情報には、氏名、連絡先情報、社会保障番号、生年月日、健康保険情報、および診断内容・治療情報・処方情報などのサービス詳細が含まれます。通知書は2026年7月17日に対象者へ郵送されており、社会保障番号が関係する個人には無料の身元監視サービスが提供されています。