ポーランド、医療ソフトMyDrの情報漏えいを捜査 最大1900万人に影響の可能性

ポーランド当局は、医療ソフトウェア提供会社MyDrを標的としたサイバー攻撃を捜査しています。この攻撃により、約1900万人分の個人データと1万2000カ所を超える医療機関の情報が流出した可能性があります。

MyDrは医師や診療所などの医療提供者向けにソフトウェアを供給するポーランドの民間企業です。同社は金曜日、発表の中で、インシデントの原因を特定して除去し、追加のセキュリティ対策を導入したと明らかにしました。ただし、脆弱性の詳細や攻撃者の侵入経路については説明していません。

同社は先週、システムの一部が「外部からの、意図的な犯罪行為」と表現する事案の影響を受けたことを公表していました。

ポーランド当局は声明で、ハッカーがMyDrのシステム内に保管されていた2024年4月までの過去データに不正アクセスしたと述べましたが、MyDrの全顧客やその患者が対象となるわけではない可能性があるとしています。同社によると、これまでのところ流出したデータが公開されたり、その他の形で外部に公表されたりした証拠は見つかっていません。

MyDrのソフトウェアは、電子処方箋や紹介状などのサービスを支えるポーランド全国規模の電子医療プラットフォーム「P1」と医療提供者をつないでいます。同社はまた、医療機関の運営管理や電子カルテのためのツールも開発しています。

ポーランドのクシシュトフ・ガフコフスキ・デジタル問題相は金曜日、述べ、予防措置として、同国のeヘルスセンターが医療系システムとP1との接続に使われるデジタル証明書を差し替えていることを明らかにしました。

ガフコフスキ氏によると、当局はMyDrへの攻撃において証明書が盗まれたり悪用されたりした証拠はこれまでのところ確認していません。今回の措置は、万が一侵害された証明書が後に不正アクセスに悪用されるのを防ぐことを目的としています。

当局者らは、証明書の差し替えによって電子処方箋や紹介状など患者向けサービスに支障は生じないはずだとしています。

ヨランタ・ソビエランスカ・グレンダ保健相は月曜日、今回のインシデントがポーランドの公的医療システムに脅威を及ぼすものではなく、P1の安全性は引き続き確保されていると述べました。

MyDrも、システムが引き続き稼働しており、医師や患者にとって安全な状態にあることを確認しています。

ガフコフスキ氏は先週、ポーランドの個人データ保護局がMyDrに対する査察を計画している一方、治安当局が攻撃の実行者特定に向けて捜査を進めていると述べました。

「調査の結果、同社が適切な手続きを踏んでいなかった、あるいはシステムを十分に保護していなかったことが判明すれば、法的責任を問われることになります」と同氏は付け加えました。

今回の攻撃について、特定の攻撃主体による犯行との断定には至っていません。

今月初め、ポーランドのサイバーセキュリティ専門メディアZaufana Trzecia Stronaは、今回の侵入の犯行を主張する人物から同メディアに連絡があり、著名なポーランドの政治家に関する情報を含むスクリーンショットなど、侵害を裏付けるとされる証拠が提供されたと報じました。

ポーランドのサイバーセキュリティ専門メディアが報じた主張やサンプルデータによると、流出した情報には氏名、生年月日、身分証明番号、一部の処方情報、その他の医療記録が含まれている可能性があります。ただし、これらの主張については独自の検証がなされていません。

今回の情報漏えいは、ポーランドの別の大手企業がサイバー攻撃を公表してから間もない時期に発覚しました。コンビニエンスストアチェーンのŻabka(ジャブカ)は今月初め、第三者委託業者に属するアカウントを通じて攻撃者に社内システムへのアクセスを許したと発表しています。

Żabkaは今月初め、Recorded Future Newsへの声明の中で、取引システムや消費者向けサービス、モバイルアプリのデータ、事業運営には影響がなかったと説明しました。

両インシデントに関連性があるかどうかは、現時点では明らかになっていません。