トロント小児病院(SickKids)は、現在および過去の従業員、さらに求職者の個人情報が「サイバーセキュリティインシデント」によって流出したことを明らかにしました。同病院によると、この侵害はサードパーティ製ソフトウェアの脆弱性に起因するものだといいます。
トロントの小児病院によると、臨床システムや患者記録は影響を受けていませんが、一般向けの採用情報サイトは一時的にオフラインになりました。
採用サイトは復旧、被害範囲は調査中
SickKidsは今週このインシデントを公表し、従業員データへの不正アクセスが発生したと説明しています。
同病院はメディア向け声明の中で、この侵害の原因はSickKidsを含む複数の組織が利用しているサードパーティ製ソフトウェアアプリケーションの脆弱性にあるとしています。
この説明からは、同一製品の利用者を狙った広範なキャンペーンが存在する可能性がうかがえますが、同病院はベンダー名、アプリケーション名、該当するCVEについては明らかにしていません。
声明によると、外部向けの採用情報サイトは一時的に影響を受けましたが、「その後安全に復旧済み」だといいます。
SickKidsによれば、臨床システムおよび患者情報は影響を受けておらず、患者ケアも通常通り継続されました。
同病院はこのインシデントを把握した後、外部のサイバーセキュリティ専門家の協力を得て調査を開始しました。
調査の結果、現在および過去のSickKids、Boomerang(SickKids傘下の小児クリニック)、SickKids Foundationの従業員、およびSickKidsへの求職者の個人情報が流出した可能性があることが判明しました。
同病院は、どのカテゴリーのデータが対象となったのか、影響を受けた人数、侵入の発生時期については明らかにしていません。
影響を受けた情報の精査は現在も進行中で、影響が確認された対象者には個別に通知するとしています。
一方でSickKidsは、念のため今回のインシデントで影響を受けた可能性のある全員にすでに通知を行っており、24カ月間のクレジットモニタリングおよびID保護サービスを無償で提供するとしています。
採用応募ポータルは、データ窃取を狙う攻撃者にとって非常に価値の高い標的です。応募者は氏名、自宅住所、電話番号、職歴、さらに管轄によっては政府発行の身分証明番号までも提供するのが一般的です。こうした情報は、なりすまし詐欺だけでなく、病院職員を狙った説得力のあるソーシャルエンジニアリングの口実作りにも悪用され得ます。
繰り返し狙われる標的
同病院がここ数年で被害に遭った公になっているセキュリティインシデントは、これが初めてではありません。
2022年12月、SickKidsはランサムウェア攻撃を受け、内部システムや病院の電話回線、ウェブサイトが機能不全に陥り、検査結果や画像診断結果の提供にも遅れが生じました。
LockBitランサムウェア集団はその後、異例の公式謝罪を発表しました。攻撃を実行したアフィリエイトが医療機関の暗号化を禁じる自分たちのルールに違反したとして、無償の復号ツールを提供したのです。ただしこれは、同病院が独力でシステム復旧に約2週間を費やした後のことでした。
2023年9月には、SickKidsは、周産期および小児の健康データを共有するサードパーティ組織で発生した侵害の影響を受けたオンタリオ州の医療機関の一つとなりました。この侵害はMOVEit Transferのゼロデイ脆弱性(CVE-2023-34362)が大規模に悪用されたことに起因するもので、氏名、自宅住所、生年月日、健康保険証番号を含む340万人分の情報が流出しました。
医療分野は、ランサムウェア集団とデータ恐喝集団の双方にとって、依然として最も標的にされやすいセクターの一つです。
特に小児病院は数十年分にも及ぶ機密性の高い記録を保有しており、犯罪組織が自ら掲げる倫理的な一線がどうであれ、攻撃者にとって魅力的な標的であり続けています。
