- カナダのSickKids病院がサードパーティ製ソフトウェアの脆弱性を突かれ、従業員データが流出
- 臨床システムと患者記録は影響を受けず、患者ケアも中断なく継続
- 影響を受けた従業員と応募者には24カ月間の無料クレジットモニタリングとID保護サービスを提供
カナダの大規模な小児病院であるThe Hospital for Sick Childrenが、サイバー攻撃を受けたことが明らかになりました。この攻撃により同院のウェブサイトの一部が影響を受け、一部の従業員の個人情報が流出しました。
同組織(通称SickKids)は自組織のウェブサイトで発表した声明の中で、身元不明の攻撃者が「SickKidsおよび他の組織が使用するサードパーティ製ソフトウェアアプリケーションの脆弱性」を悪用したと明らかにしました。発表では具体的にどのアプリケーションが攻撃に利用されたのか、またどのような脆弱性だったのかは言及されていませんが、臨床システムと患者情報には影響がなかった点が強調されています。
「患者ケアは通常通り継続されています」と同院は付け加えています。
SickKidsにとって初めての攻撃ではない
調査を開始した結果、SickKidsは、SickKids、Boomerang、SickKids Foundationに在籍する一部の元従業員および現従業員、さらにSickKidsへの求職応募者の個人情報が流出していたことを把握しました。流出した情報の具体的な内容や、影響を受けた人数については詳細を明らかにしていません。
影響を受けた人数がどれほどであれ、対象者には24カ月間のクレジットモニタリングおよびID保護サービスが無料で提供されています。
「私たちは強固な保護体制を維持し、お預かりしている情報を守るためサイバーセキュリティ対策を継続的に強化することに引き続き取り組んでまいります」と同院は声明を締めくくっています。皮肉なことに、SickKidsは2022年末から2023年初頭にかけてLockBitの攻撃を受け、ランサムウェアの脅威アクターによってシステムをロックされた際にも、同様のコミットメントを表明していました。
その事件では、LockBitが謝罪した上で復号ツールを無償提供し、責任を負ったアフィリエイトを除名し、データの窃取については一切言及しませんでした。しかし2022年末までには二重恐喝型の攻撃が標準的な手口となっていたため、その際にもデータが窃取されていた可能性は高いとみられます。
当時、LockBitは最も活発かつ最も危険なランサムウェアオペレーターの一つでした。2024年初頭には「Operation Cronos」によってその活動基盤が大きく打撃を受けましたが、同グループは再起を図っているようです。2025年末にはLockBit 5.0を名乗る主張が複数報告されており、その中には米大手銀行「U.S Bank」への攻撃と称するものも含まれていますが、この件についてはまだ確認が取れていません。
