ヘルスケアIT企業CareCloudのデータ侵害、患者370万人に影響

米国のヘルスケアIT企業CareCloudは、今年初めに発生したデータ侵害インシデントについて、370万人以上に影響が及んでいたことを明らかにしました。

同社は上場企業で、電子カルテ、医療請求、診療管理、収益サイクル管理サービスなどを提供するヘルスケア技術企業です。

CareCloudは3月、米証券取引委員会(SEC)への届け出を通じてこのインシデントを公表し、この攻撃によって自社プラットフォームで8時間のネットワーク障害が発生し、データベースの1つへのアクセスが遮断されたと説明していました。

当時、同社は侵害を受けた環境に患者データが含まれていたとしており、機密性の高い医療情報が窃取された可能性を示唆していました。

インシデント発生後、CareCloudは影響の範囲と潜在的な影響を受けた人数を特定するための調査を開始しました。

米保健福祉省(HHS)への報告書の中で、同社は今回の侵害の影響を受けた人数が3,756,469人であったと明らかにしています。

CareCloudは7月25日からデータ侵害通知の送付を開始し、調査で判明した詳細情報をさらに共有しました。

「調査の結果、2026年3月10日から3月16日の間に、権限のない第三者がCareCloudのAWS環境の1つに不正アクセスし、その環境内のデータベースからデータを窃取したと主張していたことが判明しました」と通知文には記載されています。

当局に共有されたサンプル通知書では、フルネーム以外に、どのような種類のデータが流出したのかは明記されていません。

通知の送付先には、IDXを通じた12カ月/24カ月間の本人確認保護サービスが提供されており、2026年12月17日まで利用可能です。

CareCloudは患者と直接的な関係を持たない企業であるため、影響を受けた個人の多くは今回の通知で初めて同社の名前を知ることになるとみられます。

今回のサイバーセキュリティインシデントによって生じるリスクを軽減するため、適切な対策を講じるとともに、窃取されたデータを悪用したフィッシング詐欺の試みに対して警戒を強めることが推奨されます。

本稿執筆時点では、ランサムウェアグループやデータ恐喝集団のいずれも、CareCloudへの攻撃について犯行声明を出していません。

BleepingComputerはCareCloudに対し、今回のインシデントおよび調査結果について問い合わせを行っており、情報が得られ次第、本記事を更新する予定です。