Epic MyChart患者ポータルを装うフィッシング詐欺、複数の医療機関が患者に注意喚起

米国の医療システム十数社が、MyChart患者ポータル経由の正規通信を装う一連のフィッシングメールについて、患者に注意を呼びかけています。メールの多くは、受信者がMyChart Medicareキットの当選者であると称するもので、その他にも医療給付、Medicareパッケージ、無料ギフト、報奨金などをうたうケースもあります。Texas Health Resourcesは、一部のメールが「シニア向け健康パッケージ」を提示していたとして、患者に警告しています。

Epic Systemsの電子カルテおよびMyChartポータルを利用する医療機関、具体的にはMethodist Health System、Premier Health、Sentara Health、Metro Health、Texas Health Resourcesなどは、自社サイトにこのキャンペーンに関する詐欺注意喚起を追加しています。攻撃者の狙いは、MyChartの認証情報、Medicare関連情報、金融口座情報、その他の機密データである可能性が高いとみられます。

これらのメールは、正規の医療機関のメールアドレスやドメインから送信されたものではありません。MyChartのロゴが使われてはいるものの、Epic Systemsが送信したものでもありません。ロゴはメッセージを正規のものに見せかけるために悪用されています。以下に、このキャンペーンで使われたフィッシングメールの一例を紹介しますが、他の文面が使われるケースもあります。

Epic SystemsのR&Dディレクター、Trevor Berceau氏は次のように説明しています。「詐欺師がMyChartの名前やロゴを使い、メールやテキストメッセージ、電話、ウェブサイトを正規のものに見せかけようとする事例が増えています。ログイン情報を盗もうとしたり、決済情報を入力すれば無料ギフトを進呈すると持ちかけたりするケースもあります。こうした試みが増えているのは、MyChartというブランドの知名度の高さに詐欺師が付け込んでいるためであり、セキュリティ上の懸念によるものではありません。ですので、これまで通りMyChartをご利用いただいて構いません。ただし、少しでも違和感を覚えた場合は、立ち止まって確認するようにしてください」

このキャンペーンの背後にいる脅威アクターはまだ特定されていません。また、詐欺の実行者がどのようにして患者の連絡先情報を入手したのかも明らかになっていません。過去のデータ侵害で流出したメールアドレスが使われている可能性が高いとみられますが、そのデータ侵害は必ずしも患者自身の医療機関で発生したものとは限りません。

患者への助言としては、こうしたメールを受信した場合は「配信停止」リンクも含め、いかなるリンクもクリックせず、直ちに削除することが挙げられます。メールに返信しないことも重要で、こうした通信への返信で個人情報や金融情報を開示したり、メール内のリンクから患者ポータルにログインを試みたりすることも避けるべきです。万一、メール内のリンク経由でログインするなど何らかの操作をしてしまった場合は、直ちにMyChartポータルのパスワードをリセットし、医療機関のMyChartサポートチームに連絡してください。

患者は、無料ギフトや報奨金を提示する不審なメール、テキストメッセージ、電話に対して、常に警戒を怠らないようにする必要があります。メールやテキストメッセージを受信した際は、送信元情報を注意深く確認し、正規のメールアドレスやドメインから送られたものであるかを確かめてください。こうしたメッセージにはスペルミスや文法の誤り、不自然な要求、無料ギフトや報奨金の提示が含まれていることが多く、多くの場合、受信者に即座の対応を促してきます。要求の正当性に少しでも疑いがある場合は、該当する医療機関に、確認済みの連絡先情報を使って問い合わせてください。不審な通信に記載されている連絡先情報は、決して使用しないでください。