ShinyHunters、Baxter Internationalの記録710万件を漏洩

データ窃取・恐喝グループのShinyHuntersは先ごろ、医療機器メーカーのBaxter International(Baxter)への侵入について犯行声明を出しました。BaxterがサイバーセキュリティインシデントについてBaxter声明を発表した翌日、同社はShinyHuntersのダークウェブ上のデータ漏洩サイトに追加されています。ShinyHuntersはその後、このインシデントで窃取したと主張する約710万件の記録を漏洩させました。データが漏洩したという事実は、Baxterが支払い交渉を拒否したか、あるいは交渉が決裂したことを示唆しています。

Baxterはイリノイ州ディアフィールドに拠点を置く医療機器メーカーで、腎臓ケア用機器、輸液・注入ポンプ、外科用製品、吸入麻酔薬、さらには患者モニタリング機器やデジタルヘルスツール一式を手がけています。Baxterが2026年8月13日に発表した声明によると、特定のサードパーティ製アプリケーション内で不審な活動が検知されたとのことです。同社は直ちにサイバーセキュリティ対応手順を発動して調査を開始し、サードパーティのサイバーセキュリティ・デジタルフォレンジック専門家の支援も受けています。アクセスまたは取得された可能性のある情報の種類と量を特定するため、調査は現在も続いています。

Baxterによれば、今回のインシデントは患者向けサービスや事業継続性には一切影響を及ぼしておらず、同社は通常どおり業務を継続しているとのことです。また、患者ケアの提供に顧客が使用する製品、接続ソリューション、テクノロジーにも影響はないとしています。Baxterは、このインシデントが財務や業績に重大な影響を及ぼすとは見込んでいないとも述べています。なお、インシデントの背後にいた脅威グループの名称は公表されていません。

2026年8月14日、ShinyHuntersはダークウェブ上のデータ漏洩サイトにエントリーを追加し、この攻撃への関与を認めました。ShinyHuntersはBaxterに対し、2026年8月17日を支払い交渉の期限として提示し、支払いがなければ窃取したデータを漏洩させると脅迫しました。そして2026年8月19日、ShinyHuntersは窃取したデータをダウンロード可能な状態で公開しました。

Baxterは窃取されたデータの内容について確認しておらず、攻撃には特定のサードパーティ製アプリケーションが関与していたとのみ述べています。一方ShinyHuntersは、この攻撃でSalesforceの記録710万件を窃取したと主張しており、その一部には個人を特定できる情報が含まれていたとしています。同グループは710万件の記録を取得したと主張していますが、これは必ずしも710万人の患者が影響を受けたことを意味するわけではありません。Baxterは、追加情報が確認され次第、適宜最新情報を提供するとしています。

ShinyHuntersは、最も活動が活発なデータ窃取・恐喝グループの一つです。同グループは大規模な組織を標的にしており、これまでにも複数の医療業界の被害者について犯行を主張してきました。2026年6月には、Amazon傘下のOneMedicalから8.8テラバイトのデータを窃取したと主張しており、その中には患者15万3,000人分の保護対象保健情報(PHI)が含まれていました。同じく6月には、DentaQuestから234GBのデータを窃取したとも主張しており、こちらには約260万人分の保護対象保健情報が含まれていました。ShinyHuntersは、今年これまでに別の医療機器メーカーで発生したインシデントの背後にも関与していました。7月にはMedtronicが、この攻撃で患者380万人分の保護対象保健情報が窃取されたことを認めています。その他の医療業界の被害者としては、iRhythm、AdaptHealth、Him & Hersが挙げられます。

ShinyHuntersはさまざまな業界の企業を標的にしており、同グループの攻撃は日和見的なものと見られますが、被害者リストには医療機関が数多く含まれています。医療機関を狙った攻撃が増加していることを受け、Health-ISACは2026年7月、ShinyHuntersグループに関する警告を医療・公衆衛生セクター向けに発表しました。