6月に発生したこの侵害では従業員の情報も流出しており、医療業界が直面するサプライチェーンリスクを改めて浮き彫りにしました。
ゲノム診断企業のBaylor Geneticsは、一部患者のデータが漏えいするサイバー攻撃を受けたと金曜日に発表しました。
この侵入は6月11日から6月17日の間に発生し、「同社のIT環境の一部と、特定の個人の個人情報に影響を及ぼした」と、同社は声明で述べています。
Baylorは医療機関向けに検査サービスを提供しており、そのため検査結果やゲノム記録を含む大量の機密医療データを保有しています。
同社によると、攻撃者は患者の生年月日、医療・検査記録、健康保険情報、そして「ごく一部」のケースでは社会保障番号にアクセスできた可能性があるとしています。また、流出した可能性のある従業員データには、社会保障番号や金融口座情報が含まれていました。
声明によると、Baylorはサードパーティのサイバーセキュリティ専門家を起用し、法執行機関とも連携して調査を実施し、7月30日に調査を完了しました。ただし、発表までになぜ2週間の遅れが生じたのかについては説明されていません。同社は調査完了後、データが影響を受けた人々への通知を開始したとしています。
「現時点で、Baylor Geneticsは本件に関連する個人情報の悪用、なりすまし被害、詐欺行為が確認された事実は把握していません」と同社は述べています。
また、攻撃者が患者の検査結果を改ざんした形跡もないとBaylorは説明しています。
今回の侵入を受け、Baylorのセキュリティチームはアイデンティティ・アクセス管理プロセスを改善し、その他のセキュリティ対策も追加したとしています。
Baylorは、侵入の発生経緯や具体的にどのようなセキュリティ強化策を講じているのかについてのコメント要請に、即座には応じませんでした。
拡大するサプライチェーンリスク
今回のBaylor Geneticsのハッキング事件は、医療機関とその患者が直面するサプライチェーンのセキュリティリスクを改めて浮き彫りにする厳しい教訓となっています。
医療技術ベンダーは、病院や診療所といった医療提供の最前線に比べて、政策立案者や規制当局、一般市民からの注目度が格段に低いため、医療業界の中で最も弱い環の一つとなっています。同時に、幅広い医療機関との取引関係を通じて大量の機密データにアクセスできることから、攻撃者にとって業界内で最も価値の高い標的の一つでもあります。
7月下旬には、ニュージャージー州を拠点とする検査ベンダーのCenters Labが、2025年8月に攻撃者にシステムへ侵入され、患者データが窃取されていたと発表しました。さらにその2週間後には、医療機器大手のAbbottが、最近発生したサイバー攻撃により患者の健康データが影響を受けたと発表しています。
