医療大手マッケソン、データ侵害インシデントを調査

米国最大級の医療機器・医薬品ディストリビューターの一社が、悪名高い脅威アクターShinyHuntersが犯行声明を出した深刻なデータ侵害について調査を進めています。

1833年創業のマッケソンは、40,000社を超える法人・機関顧客に対して医療用品の卸売および医薬品の流通を提供しています。

同社は8月28日の声明で、「サードパーティ製アプリケーションに関連する不正アクセスおよびデータの窃取」を伴うインシデントを調査中であることを明らかにしました。

その翌日に公開された最新のアップデートでは、この侵害が正式に確認されています。

同社は次のように説明しています。「対応を支援している大手サイバーセキュリティ業界専門家による評価を含め、これまでの調査に基づき、特定のサードパーティ製アプリケーションへの不正アクセスと特定データの窃取が、当社のOncology & Multispecialty事業部門およびMedical-Surgical事業部門内の一部顧客に関連していたことを確認しました」

医療業界のインシデントについてはこちらもご覧ください: Boston Scientific、サイバーインシデント後にグローバルな業務障害を公表

マッケソンは、当初は金曜日の時点で「本インシデントに関連するとみられる断続的なサービス低下が発生する可能性がある」と顧客に注意を促していたものの、顧客向けサービスには影響がないことを強調しています。

最新の声明によれば、調査は継続中であるものの、社内ネットワークにおいて不正な活動が現在も続いている形跡はなく、顧客は通常通りサービスを利用できるとのことです。

同社はこう付け加えています。「マッケソンは全事業ラインにわたって顧客へのサービス提供と注文受付を継続しています。当社の物流センターは稼働を続けており、流通ネットワーク全体で製品の出荷も継続しています」

ShinyHuntersが犯行声明

データ恐喝を専門とするShinyHuntersは、自らのリークサイトに同社に関する投稿を掲載し、数億件規模のレコードを侵害したと主張しています。

各種報道によれば、最大で2億8,400万件のレコードが侵害された可能性があり、マッケソンは5,500万ドルの身代金を要求されたとされています。脅威アクターは、初期アクセスを得るために従業員を標的としたソーシャルエンジニアリングを用いたとみられています。

Black Hills Information Securityのオーナーであるジョン・ストランド氏は、今回のインシデントがサードパーティ製アプリケーション環境のセキュリティ確保における課題を浮き彫りにしていると指摘しています。

同氏は次のように説明しています。「特にSaaSプロバイダーなど、連携するサードパーティベンダーが増えるほど、攻撃対象領域は拡大します。あらゆる連携、API、アプリケーション、ベンダー関係が、組織内部に至る新たな侵入経路になり得ます」

「サプライチェーンセキュリティに関する取り組みも、まだ十分とは言えないと考えています。組織はSaaSプロバイダーに対してより踏み込んだ質問を投げかけ、保証書(letters of attestation)を取得し、こうしたサービスがどのように保護されているかを把握するとともに、ベンダーが自社環境に対して具体的にどのようなアクセス権を持っているのかを特定すべきです」

今回のインシデントは、米国の医療サプライチェーンを支えるもう一つの重要企業が侵害を受けたわずか数日後に発生しました。

医療機器大手のBoston Scientificは、SECへのForm 8-K提出書類の中で、このインシデントが「グローバルな業務障害」を引き起こしたと明らかにしています。

画像提供: JHVEPhoto / Shutterstock.com