医療大手のMcKessonは先ごろ、米証券取引委員会(SEC)へのForm 8-K提出書類でサイバー攻撃を受けたことを公表しました。調査はまだ初期段階にあるものの、McKessonはデータが外部に流出したことを確認しており、被害の規模については現時点で判明していないとしています。
McKessonは、病院、ヘルスケアシステム、薬局、医師オフィスに対して医薬品や医療・外科用機器、腫瘍学および処方箋に特化した技術ソリューションを提供する、米国の大手上場ヘルスケア・製薬企業です。McKessonは攻撃の実行者名を公表していませんが、恐喝グループ「ShinyHunters」による犯行とみられています。ShinyHunftersは自らのデータ流出サイトにMcKessonを掲載し、患者データ2億8,400万件を窃取したと主張しています。この2億8,400万件という数字は生データの行数を指しており、患者の実数(ユニーク数)ではありません。とはいえ、これが重大なデータ侵害であることに変わりはありません。
McKessonは2026年8月28日にこのインシデントを公表し、「サードパーティアプリケーションに関わるサイバーセキュリティインシデントおよび不正アクセス、データの外部流出」を受けて調査を開始したと説明しました。インシデント対応プロトコルが発動され、大手サイバーセキュリティ専門家が同社の対応支援のために起用されています。McKessonのサイバーセキュリティチームおよびサードパーティの専門家は、システム可用性への影響を最小限に抑えつつ、不正アクティビティの性質と範囲、そしてデータ窃取の規模の特定に取り組んでいます。顧客に対しては、断続的なサービス低下を含め、システム可用性および事業運営に影響が及ぶ可能性があると注意喚起がなされています。
McKessonは、顧客側で対応が必要になるとは考えていないと述べており、また同社は環境内のシステムを予防的に切断することはしていないとしています。8月29日付の更新情報でMcKessonは、全事業ラインにわたって顧客へのサービス提供を継続しており、注文の受け付けも行われ、流通センターも稼働を続けており、流通ネットワーク全体で製品の出荷が続いていると述べています。
初期の調査結果によると、今回のインシデントはMcKessonの腫瘍学・多専門分野(Oncology & Multispecialty)事業部門および医療・外科(Medical-Surgical)事業部門の顧客の一部に関するデータに関わるとみられています。それ以上の不正アクセスを防ぐための初期対応は奏功したとみられ、これ以上の不正アクティビティは検出されていません。SECへの提出書類によると、このサイバーセキュリティインシデントは2026年8月25日に初めて検知されました。同社は、このインシデントが重大なものに該当するか、また会社の財務状況や業績に重大な影響を及ぼすかについては、まだ判断を下していません。
ShinyHuntersは、データの窃取と恐喝を専門とする悪質な脅威グループであり、通常はボイスフィッシング(ビッシング)やソーシャルエンジニアリングを通じて被害者のシステムへのアクセスを獲得します。過去にはMedtronic、Abbott Laboratories、iRhythm、AdaptHealth、DentaQuestといった医療機関が被害に遭っています。この数日間では、ShinyHuntersはBaxter InternationalおよびBoston Scientificでのデータ窃取インシデントについても犯行声明を出しています。
同グループと接触しているBleepingComputerによると、2026年8月21日から8月25日にかけて約1テラバイトのデータが外部に流出し、5,500万ドルを超える身代金要求が出されているとのことです。ShinyHuntersは、窃取したデータには氏名、連絡先情報、社会保障番号、生年月日、医療記録番号、Medicaid番号、投薬・アレルギー情報、診断情報、予約情報、その他の機密データが含まれていると主張しています。このデータは同社のSalesforce環境およびSnowflakeに関連するものとみられます。
翻訳元: https://www.hipaajournal.com/mckesson-data-breach/
