- CareCloudは2026年3月16日に発生したサイバー攻撃により370万人分のデータが流出したと確認
- 攻撃者はAWS環境の1つに侵入し、氏名を含む個人記録を窃取
- 今回のインシデントは重大なものではないとされるが、修復・法務・信用面のコストが発生する可能性
CareCloudは、2026年3月に発生したサイバー攻撃により370万人分の機密データが流出したことを認めました。
この米国のITヘルスケア企業は、米証券取引委員会(SEC)に対し、Health部門で「一時的なネットワーク障害」が発生し、「6つある電子カルテ(EHR)環境のうち1つの機能とデータアクセスが約8時間にわたり部分的に影響を受けた」と報告していました。
初期調査の結果、攻撃者が個人の記録にアクセスしたことが判明しましたが、影響を受けた人数やファイルの性質、データが窃取されたのか単に閲覧可能な状態にあっただけなのかについては明らかにされていません。
保健福祉省への通知
2026年7月下旬、同社はこのインシデントについて顧客への通知を開始しました。それによると、身元不明の攻撃者がCareCloudのAWS環境の1つにアクセスし、そこにあったファイルを窃取したと主張しているとのことです。同社は、氏名以外にどのような種類のデータが窃取されたかについては明らかにしていません。
米保健福祉省(HHS)への別の報告では、同社は影響を受けた人数を3,756,469人と正確に確認しています。
本稿執筆時点で、この攻撃について犯行声明を出したハッキンググループはなく、窃取された可能性のあるデータの量や性質、種類についての詳細も明らかになっていません。
CareCloudは、医療機関や医療システム向けにクラウドベースのソフトウェアやサービスを提供する米国の上場ヘルスケアテクノロジー企業で、電子カルテ(EHR)、診療管理、請求・収益サイクル管理ソリューションなどを手掛けています。米国全50州、70以上の診療科にわたる数万の医療提供者と取引があり、同社のプラットフォームを利用する医療提供者は4万人を超えます。
CareCloudはSECへの最初の報告の中で、今回のインシデントは重大な影響を及ぼすものではないとしながらも、修復・対応費用や法務・規制・通知関連の費用が発生する可能性があり、患者、顧客、取引先、信用、事業運営に影響が及ぶ可能性があるとしています。
