医療・医薬品流通大手のMcKessonは、サードパーティアプリケーションへの不正アクセスとデータ窃取を伴うサイバーセキュリティインシデントを公表しました。
McKesson Corporationは、医薬品の流通に加え、医療用品、医療情報技術、ケアマネジメントツールを提供するアメリカの医療関連企業です。
McKessonによると、このサイバーセキュリティインシデントを発見したのは2026年8月25日で、調査はまだ初期段階にあるとのことです。
「これまでの調査結果、および対応を支援している大手サイバーセキュリティ業界専門家による評価により、特定のサードパーティアプリケーションへの不正アクセスと特定データの流出が、当社のOncology&Multispecialty事業部門およびMedical-Surgical事業部門の一部の顧客に関連していたことを確認しました」
現時点では、McKessonは盗まれたデータの量や性質についての情報を一切明らかにしていません。
この攻撃は、ランサムウェア/恐喝グループのShiny Huntersが犯行声明を出しています。同グループはリークサイト上で、個人を特定できる情報(PII)から保護対象保健情報(PHI)に至るまで、非常に機密性の高い情報を含む数億件のレコードを盗み出したと主張しています。
ShinyHuntersの恐喝グループはBleepingComputerに対し、自分たちがこの攻撃の背後にいると認めた上で、McKessonの複数の従業員に対してソーシャルエンジニアリングの一種であるボイスフィッシング(ビッシング)攻撃を行い、アクセス権を取得したと主張しました。その後、同グループは侵害したOktaのシングルサインオンアカウントを使ってSalesforceおよびSnowflakeの環境にアクセスしたと述べています。さらに、8月21日から25日にかけて約1TBのデータを持ち出したと主張しています。
同グループはまた、データには約2億8,400万件のレコードが含まれているとも述べていますが、これは必ずしも2億8,400万人分のユニークな患者データを意味するわけではありません。
身元情報と医療関連の詳細情報が組み合わさることで、被害者が説得力のある詐欺の標的になる可能性があります。犯罪者は薬局、保険会社、医療提供者、債権回収業者、患者サポートサービスなどになりすまし、個人情報を使ってアプローチを本物らしく見せかけることができます。
医療データは、緊急性を演出できるためソーシャルエンジニアリング攻撃において特に有用です。犯罪者は、処方箋に問題があるとか、保険金請求が未払いだとか、配送に問題があるとか、予約が変更になったとか、あるいは保険内容の「確認」を求めるといった内容を送りつけ、標的を怖がらせることができます。ただし現段階では、McKessonは特定のカテゴリの患者データへのアクセスがあったことを確認していません。
影響を受けた場合の対処法
侵害の詳細やご自身への影響について、さらなる情報を待つ間にできることがいくつかあります。
- 企業からのアドバイスを確認する。侵害の内容は事案ごとに異なりますので、何が起きたのかを企業に確認し、提供される具体的なアドバイスに従ってください。
- パスワードを変更する。パスワードを変更することで、盗まれたパスワードを盗人にとって無価値なものにできます。他では使い回していない強力なパスワードを選んでください。さらに良いのは、パスワードマネージャーに選ばせることです。
- 二要素認証(2FA)を有効にする。可能であれば、FIDO2準拠のハードウェアキー、ノートパソコン、またはスマートフォンを第2要素として使用してください。2FAの一部の方式はパスワードと同じくらい簡単にフィッシングされてしまいますが、FIDO2デバイスに依存する2FAはフィッシングされません。
- なりすましに注意する。サイバー犯罪者は、被害を受けた企業を装って連絡してくる場合があります。その企業の公式ウェブサイトを確認し、被害者に実際に連絡を取っているかどうかを確かめるとともに、別の連絡手段で接触してきた相手の身元を検証してください。
- 焦らず時間をかける。フィッシング攻撃は、よく知っている人物やブランドになりすまし、配送物の未着、アカウントの停止、セキュリティ警告など、緊急の対応を要するテーマを利用することがよくあります。
- カード情報を保存しないことを検討する。サイトにカード情報を記憶させておくのは確かに便利ですが、その企業が侵害を受けた場合のリスクが高まります。
- アイデンティティ監視を設定する。これにより、個人情報がオンライン上で不正に取引されているのを発見した際に警告を受け取ることができ、事後の復旧にも役立ちます。
正直なところ、シークレットウィンドウでできることには限界があります。
情報漏えい、ダークウェブでの取引、クレジットカード詐欺。Malwarebytes Identity Theft Protectionはそのすべてを監視し、迅速に警告を発するとともに、盗難保険も付帯しています。
