CareCloudのデータ侵害で医療記録、社会保障番号、銀行情報が流出

医療技術大手のCareCloudは、今年発生したデータ侵害が375万人以上に影響を及ぼしたことを確認しました。これは今年公表された医療分野のデータ侵害事案としては最大級の規模となります。

電子カルテ(EHR)および診療管理サービスを提供するニュージャージー州の同社は、3月に提出したSEC提出書類で最初に今回の侵入を報告していました。しかし、その被害規模の全容が明らかになったのは今月のことで、米保健福祉省(HHS)の侵害追跡データベースで、影響を受けた人数が約34万5,000人から375万6,469人へと更新されました。

CareCloudによると、2026年3月10日から3月16日にかけて、権限を持たない第三者が同社のAmazon Web Services(AWS)環境の1つに不正アクセスしたということです。この侵入により、同社が運用する6つのEHR環境のうち1つが8時間にわたって停止しましたが、システムは同日夜のうちに復旧しました。フォレンジック調査の過程で、CareCloudは攻撃者がこの環境内のデータベースからデータを窃取したと主張していることを確認しました。

流出したデータには、身元情報と医療情報の両方が含まれていると報じられています。

• 氏名、住所、生年月日
• 社会保障番号(SSN)、運転免許証番号またはパスポート番号
• 医療記録および健康保険情報
• 銀行口座・金融情報、および一部の被害者についてはCVVを含むクレジットカード情報全般

影響を受けた顧客が取るべき対応

医療情報、身元情報、金融情報が組み合わさって流出していることを踏まえると、侵害通知の書簡を受け取った方は、深刻に受け止める必要があります。

ご自身がデータ侵害の影響を受けたと思われる場合、自衛のために以下の対策を取ることができます。

• 企業からの案内を確認する。侵害の内容は事案ごとに異なるため、対象企業に何が起きたのかを確認し、提供される個別の指示に従ってください。
• パスワードを変更する。パスワードを変更すれば、盗まれたパスワードを窃取者にとって無価値なものにできます。他では使い回していない強固なパスワードを選びましょう。さらに良いのは、パスワードマネージャーに生成を任せることです。
• 二要素認証(2FA)を有効にする。可能であれば、FIDO2準拠のハードウェアキー、ノートパソコン、スマートフォンを第2要素として使用してください。2FAの一部の方式はパスワードと同様にフィッシングで突破されることがありますが、FIDO2デバイスに依存する2FAはフィッシングによる突破ができません。
• なりすましに注意する。サイバー犯罪者は、侵害を受けた企業を装って連絡してくることがあります。その企業が被害者に連絡を取っているかどうか公式サイトで確認し、別の連絡経路で接触してきた相手の身元は必ず確認してください。
• 慌てて対応しない。フィッシング攻撃は、よく知る人物やブランドになりすまし、配送の失敗、アカウント停止、セキュリティ警告といった、緊急の対応を求めるような話題を利用することがよくあります。
• カード情報の保存を避けることも検討する。サイトにカード情報を記憶させておくのは確かに便利ですが、その企業がデータ侵害に遭った場合のリスクが高まります。
• 個人情報の監視を設定する。これにより、自分の個人情報がオンライン上で不正に取引されていないか検知でき、被害後の復旧にも役立ちます。