CareCloudのデータ侵害被害、370万人規模に拡大

先に公表されたCareCloudのデータ侵害は、当初の想定をはるかに超える370万人以上の個人に影響を及ぼしていることが判明しました。

クラウドベースの医療ソリューションプロバイダーである同社は7月上旬、3月中旬にネットワーク侵入を検知したことを明らかにしていました。この侵害は、電子健康記録(EHR)環境で発生した障害をきっかけに発覚しました。

調査の結果、脅威アクターは3月10日から3月16日にかけてCareCloudのAWS環境の一つに不正アクセスしていたことが判明しました。同社によれば、ハッカーは侵害された環境内のデータベースから情報を窃取したと主張しているとのことです。

盗まれた情報には、氏名、住所、社会保障番号(SSN)、運転免許証番号、生年月日、健康保険情報、医療・医療関連情報が含まれます。一部の個人(ごく限られた一部)については、攻撃者がクレジットカード情報全体も入手していました。

これまでのところ、CareCloudへのハッキングを公に主張しているサイバー犯罪グループは確認されておらず、同社も攻撃の首謀者を明らかにしていません。データの公開を防ぐためにCareCloudが身代金を支払ったかどうかも不明です。

7月に複数州の司法長官(AG)が公表したデータ侵害報告では、各州で数万人規模の被害者が確認されており、合計でおよそ35万人とされていました。

執筆時点でも各州のAGウェブサイト上の登録件数はその数字のままですが、米保健福祉省(HHS)が管理する医療データ侵害追跡システムでは今週、被害者の総数が300万人を超えていることが明らかになりました。

HHSの追跡システムでは月曜日時点で被害者数が3,371,508人と表示されていましたが、火曜日には3,756,469人へと更新されました。

従来の報告から10倍近くに増加したことから、当初の登録内容は事務的な誤記ではないかとの疑念も生じました。しかし、HHSはSecurityWeekに対し、この数字は正確であり、同機関に提供された最新のデータを反映したものであると確認しています。