AdaptHealthのデータ侵害、411万5,802人に影響

7月上旬、AdaptHealthが患者データの窃取を伴うサイバーセキュリティインシデントが発生したとして、米証券取引委員会(SEC)に通知していたことをお伝えしました。当時のForm 8-K提出時点では、AdaptHealthはこのインシデントで患者データがどの程度侵害されたかを特定できていませんでした。現在、米保健福祉省(HHS)公民権局(OCR)への報告により、このインシデントで411万5,802人分の電子保護対象保健情報(ePHI)が侵害されたことが判明しています。

AdaptHealthは2026年8月14日、自社ウェブサイトに通知を追加し、このインシデントで侵害されたデータについてさらに詳しい情報を公表しました。この通知によると、フォレンジック調査の結果、攻撃は2026年6月5日に発生し、脅威アクターは氏名、連絡先情報、人口統計情報、医療保険情報、健康情報を含むファイルを持ち出したことが判明しています。AdaptHealthは、これらのデータの実際の不正利用や不正利用の試みは確認されていないと説明していますが、念のため、影響を受けた個人には12か月間の無料クレジットモニタリングおよび個人情報盗難保護サービスが提供されています。現時点でShinyHuntersのデータリークサイトに掲載は見当たらず、該当エントリーが削除された可能性があります。

2026年7月3日: AdaptHealth、重大なサイバーセキュリティインシデントと患者データ窃取を報告

在宅医療機器、糖尿病用品、睡眠療法製品を提供する上場医療企業AdaptHealthは、患者データへの不正アクセスを伴う重大なサイバーセキュリティインシデントを調査中であることを、米証券取引委員会(SEC)に通知しました。

同社が提出したForm 8-Kによると、脅威アクターは2026年6月15日に同社に接触し、患者データを含むファイルを入手したと主張しました。AdaptHealthは調査を開始し、第三者のサイバーセキュリティ専門家を起用するとともに、法執行機関に通報しました。AdaptHealthの調査により、内部の患者管理システムや文書保管プラットフォームを含む、一部のクラウドベースの業務アプリケーションに脅威アクターがアクセスしていたことが判明しています。脅威アクターは、患者の個人識別情報(PII)および保護対象保健情報を含むファイルを持ち出していました。

調査は現在も継続中ですが、AdaptHealthはこの不正アクセスが、第三者委託業者に対するソーシャルエンジニアリング攻撃への対応の結果として発生し、これにより当該委託業者の認証情報が窃取されたと特定しています。脅威アクターは、保険請求業務に関連する保存済みパスワードファイルと、外部の電子カルテ(EHR)ポータルへのアクセス権を入手していました。

影響を受けたアカウントは無効化され、認証情報はリセットされたほか、追加のアクセス制御が導入されています。今回のインシデントは同社の業務や患者向けサービスに影響を及ぼしておらず、データ窃取の範囲を特定するための調査が続けられています。関与したデータの種類はまだ特定されておらず、影響を受けた人数も現時点では不明です。AdaptHealthによると、同社は患者の社会保障番号を収集しておらず、金融口座情報やクレジットカード情報も侵害されたシステムには保存されていないとのことです。

AdaptHealthは、今回のインシデントで危険にさらされたデータの性質と潜在的な量から、これを重大なサイバーセキュリティインシデントとみなしているとしています。インシデントによる財務的影響については現在も評価が進められており、同社はフォレンジック調査、侵害通知、法務・規制対応、各種是正措置に関連する費用を負担する可能性があります。同社はサイバーセキュリティ保険に加入しており、今回のインシデントに関連する一部の損失をカバーできる可能性があります。

AdaptHealthは今回の攻撃の実行者を明らかにしていませんが、これはShinyHuntersという脅威グループによるデータ窃取・恐喝の試みだったとみられています。ShinyHuntersはAdaptHealthを自らのデータリークサイトに掲載し、身代金が支払われなければ窃取したデータを流出させると脅迫しており、同社に対して支払うかデータ流出に直面するかの最終警告を発しています。