アラバマ州バーミンガムを拠点とする医療技術企業Aesto Healthで発生したデータ侵害が、同社の複数の医療機関クライアントに影響を及ぼしています。Aesto Healthは、医療機関や医療事業者向けに、安全なデータ移行、レガシーデータのアーカイブ化、電子健康記録(EHR)の交換サービスを提供しています。同社の発表によると、2025年12月18日前後にセキュリティインシデントが確認され、これはAmazon Web Services(AWS)インフラの一部に関わるものでした。第三者のサイバーセキュリティ専門家がインシデントの調査に起用され、2025年12月2日から12月18日の間に、権限のない第三者によって同社のAWS環境にアクセスされていたことが確認されました。
影響を受けたインフラ部分は精査され、氏名フルネーム、社会保障番号、生年月日の一部、運転免許証番号、州発行の身分証明書番号、金融口座番号、納税者番号、医療記録、病歴、請求・課金情報、健康保険情報など、個人を特定できる情報および保護対象保健情報(PHI)が含まれていたことが確認されました。Aesto Healthは、保有する機微データを保護するために多くの予防策を講じており、セキュリティ対策を継続的に評価・改善していると説明しています。信用情報の監視サービスおよびID盗難保護サービスも提供されています。
このインシデントは、同社の医療機関クライアントのうち少なくとも20社以上に影響を及ぼしていることが判明しています。通知は2026年6月26日から開始されました。HIPAA対象事業者の業務提携先(ビジネスアソシエイト)でデータ侵害が発生した場合、最終的にHIPAA違反通知規則の要件を満たす責任を負うのは、影響を受けた対象事業者です。対象事業者は、通知書の発行責任を侵害を受けたビジネスアソシエイトに委任することも、自ら通知書を発行することも選択できます。そのため、ビジネスアソシエイトで発生したデータ侵害では影響を受けた人数を特定するのが難しいケースが多いのですが、今回のケースでは数十万人の患者に影響が及んでいることは確実です。
各州司法長官の侵害届出リストによると、少なくともサウスカロライナ州の80,622人、ワシントン州の37,253人、オレゴン州の731人、バーモント州の91人の住民が影響を受けています。ただし、影響を受けたクライアントの多くは自ら侵害を報告することを選んでいます。中には、数万人の患者が影響を受けたと報告しているクライアントもあります。例えば、Village Practice Managementは25,000人を超える患者が影響を受けたことを確認しており、Everside Healthはワシントン州司法長官に対し、ワシントン州だけで約22,000人が影響を受けたと報告しています。
影響を受けたことが判明している医療機関は以下の表のとおりですが、これ以外にも影響を受けた機関がある可能性があります。
- Edwards County Medical Center
- Effingham Obstetrics & Gynecology Associates, PLLC
- Ellenville Regional Hospital
- Everside Health
- Gila Health Resources, LLC
- Graham County Hospital
- Greenwood County Hospital
- Henry County Hospital
- Little River Memorial Hospital
- Main Street Medical Services, PLLC
- Marana Health
- Mid-South OB-GYN, PLLC
- Midtown Community Health Center
- Missoula Community Health Services Inc., dba Mineral Community Hospital
- Monroe Health Center
- My Doctor, LLC
- Nebraska Orthopedic Center, P.C
- Park West Health Systems, Inc.
- Quincy Valley Medical Center
- Rural Health Resources of Jackson County Inc. d/b/a Holton Community Hospital
- Shenandoah Valley Medical System Inc.
- Sterling Health Solutions
- Texas Spine Consultants, LLP
- Together Women’s Health Medical Group of Alabama, PC
- Together Women’s Health Medical Group, PC
- Village Practice Management (VillageMD; Village Medical)
- Women’s Health Associates, Inc.
翻訳元: https://www.hipaajournal.com/aesto-health-data-breach/
