セキュリティ
McKesson、5,520万ドルを要求するShinyHuntersの侵害を認める
人気記事
大手医療関連企業2社、Boston ScientificとMcKessonが週末にかけて、それぞれ別々のサイバー攻撃に関する詳細を新たに公表しました。両社ともグローバルな業務に支障が生じ、McKessonでは患者データが窃取される事態となっています。
医療機器メーカーのBoston Scientificは、先週、正体不明の侵入者によってITシステムをハッキングされたと明らかにしていましたが、この攻撃は現在も継続中だとしています。同社はまた、8月25日の侵害以降に植込まれたペースメーカーなどの心臓関連機器について、本来想定されているリモートモニタリングとデータ送信ができない状態にあると説明しました。
「新規のリモートモニタリング通信機は有効化できないため、通信機が有効化されるまでの間、利用可能なデバイスデータはリモート患者管理システムに送信されません」と、同医療機器企業は金曜夜遅くに公表した更新情報で述べています。
これは、植込み型心臓モニター(ICM)を除く、すべての新規心臓リズム管理用植込み機器に該当します。
ICMデバイスについては、患者の心拍リズムを正しく記録できるよう、Boston Scientific Clinic Assistantアプリを使って有効化する必要があると同社は付け加えています。
今回のサイバー攻撃の影響により、「新規のICMは患者用リモートモニタリング携帯アプリとのペアリングができないため、ICMがペアリングされるまでの間、ICMが記録した利用可能なエピソードデータはリモートモニタリングシステムに送信されません」と更新情報には記載されています。
デバイス自体はエピソードを記録し続けるため、患者はClinic Assistantアプリを使い対面での送信によってリモートモニタリングシステムにデータを転送することが可能です。同社によれば、これは「interrogate(照会)」ボタンを選択することで行えるとしています。
ITシステムが復旧し、心臓関連機器が家庭用モニタリング機器とペアリングできるようになれば、記録済みデータのリモートシステムへの送信も再開される見込みです。
ただし、同社は完全復旧の時期については明言していません。「現在、影響を受けた機能とシステムアクセスの復旧作業を進めています」と、Boston Scientificは土曜日に述べました。
今回のデジタル侵入は、製造、出荷、受注業務にも影響を及ぼしたとされています。「今週中に一部製品の出荷について部分的な復旧を早急に進めています」と日曜日の更新情報にはあります。「復旧が完全に機能していることを確認できた段階で、受注と出荷はフル稼働まで段階的に引き上げられる見込みです」。
Boston Scientificは調査と復旧作業の支援のためCrowdStrikeを起用しており、今回の攻撃はクラウドベースのシステムやアプリには影響しておらず、影響を受けたのは「一部のオンプレミスシステム」のみだとしています。また、8月25日以降、不正なIT活動の兆候は確認されていないとも述べています。
同社は、これがランサムウェア感染だったのか、どの犯罪集団の犯行なのかを含め、今回の侵害に関するThe Registerからの質問への回答をこれまで繰り返し拒否しています。
McKesson、侵害を確認 ShinyHuntersが犯行を主張
一方、犯行を実行したとされる犯罪者側が公然と自らの犯行だと主張しているもう一つのサイバーセキュリティ事案では、製薬・医療用品大手のMcKessonが週末に侵入を確認しました。これに先立ち、ShinyHuntersは金曜日、The Registerに対し、同社のSnowflakeおよびSalesforceの環境に侵入し、数百万人分の患者データを窃取したと語っていました。
「これまでの調査結果、および対応を支援している大手サイバーセキュリティ業界専門家による評価に基づき、当社のOncology & Multispecialty事業部門およびMedical-Surgical事業部門の一部顧客に関連して、特定のサードパーティアプリケーションへの不正アクセスと特定データの窃取があったことを確認しました」と、McKessonのエグゼクティブバイスプレジデント兼最高情報責任者(CIO)兼最高技術責任者(CTO)であるFrancisco Fraga氏は土曜日の声明で述べています。
同医療関連企業は、何人の患者が影響を受けたのか、また「特定データ」として具体的に何が盗まれたのかを含め、The Registerからの質問に即座には回答しませんでした。同社のウェブサイトによると、McKessonは29州の約3,300のがん治療提供者を支援しているとのことです。
Fraga氏の声明では、流通センターは引き続き稼働しており、McKessonは製品出荷を継続していると述べられています。また、デジタル侵入者はサードパーティ環境から既に排除されており、McKessonのシステム内に潜伏していないと「合理的な確証」を得ているとも付け加えています。
ShinyHuntersの広報担当者は本誌に対し、この悪名高い恐喝グループが2億8,400万件を超える患者データレコードを侵害したと語り、McKessonが5,520万ドルを支払わなければ盗み出したデータを流出させると脅迫したと述べています。
しかし、Have I Been Pwnedの運営者であるTroy Hunt氏が最近改めて指摘したとおり、犯罪者側の主張を事実そのものと混同してはいけません。同氏は「主張している側のプロセスに確信が持てない限り、見出しに出てくる数字は割り引いて受け止めるべきだ」と述べています。
これは、HuntのHIBPサービスが、アパレル小売企業Carharttで発生したとされる侵害について、影響を受けた個人数を1,290万人と報告した後の発言です。この数字は、今月初めにShinyHuntersが同社のデータを流出させた際に主張していた数の約半分でした。
ShinyHuntersの広報担当者によると、McKessonから流出したとされるレコードには、患者のフルネーム、自宅住所とメールアドレス、電話番号、生年月日、社会保障番号、診察予約日と診療メモ、さらにはがんの発生部位といった機微な疾病詳細が含まれているとのことです。同グループはまた、医師から患者に宛てた個人情報を含むメールも窃取したと主張しています。
この広報担当者は本誌に対し、「複数の従業員」に対するボイスフィッシングによって同社のSnowflakeおよびSalesforce環境にアクセスしたと語りました。これは、このデータ窃取・恐喝集団が実績のある手口として広く用いてきた手法であり、同グループはここ数カ月の間に他の医療関連企業も標的にしてきました。中には、4月のペースメーカーメーカーのMedtronicや、7月のがん診断企業Exact Sciencesも含まれています。®
