米ヘルスケアIT企業CareCloudは、今年初めに発生したデータ侵害インシデントが370万人以上の個人に影響を及ぼしたことを明らかにしました。
同社は上場しているヘルスケアテクノロジー企業で、電子カルテ、医療請求、診療管理、収益サイクル関連サービスを提供しています。
同社は3月、米証券取引委員会(SEC)への届け出を通じてこのインシデントを公表し、この攻撃によって自社プラットフォームで8時間のネットワーク障害が発生し、データベースの一つへのアクセスが遮断されたと説明していました。
その時点で同社は、侵害された環境に患者データが含まれていたとし、機密性の高い医療情報が窃取された可能性があると述べていました。
インシデント発生後、CareCloudは影響の範囲と、どれだけの人数が影響を受けた可能性があるかを調査するため、調査を開始しました。
米保健福祉省(HHS)への報告書の中で同社は、この侵害の影響を受けた人数が3,756,469人だったと報告しています。
CareCloudは7月25日からデータ侵害の通知配布を開始し、調査で判明した詳細をさらに共有しました。
通知には次のように記されています。「調査の結果、2026年3月10日から3月16日の間に、権限のない第三者がCareCloudのAWS環境の一つに侵入し、その環境内のデータベースからデータを窃取したと主張していることが判明しました」（通知全文はこちら）
当局に提出されたサンプル通知書では、氏名(フルネーム)が含まれていたこと以外、流出したデータの種類については明記されていません。
通知の受領者には、IDXを通じて12カ月または24カ月間のID保護サービスが提供され、2026年12月17日まで利用登録が可能です。
CareCloudは患者と直接的な関係を持たない事業者であるため、影響を受けた個人の多くは、今回初めて同社の名前を耳にすることになるとみられます。
今回のサイバーセキュリティインシデントに伴うリスクを軽減するため、適切な対策を講じるとともに、窃取されたデータを悪用したフィッシング詐欺に厳重に警戒することが推奨されています。
本稿執筆時点では、CareCloudへの攻撃について犯行声明を出しているランサムウェアグループやデータ恐喝集団は確認されていません。
BleepingComputerはCareCloudに対し、インシデントの詳細と調査結果について問い合わせを行っており、情報が得られ次第、本稿を更新する予定です。
