ノースカロライナ州の複数のリハビリケア施設、オハイオ州およびワシントン州の高齢者向け施設・専門看護施設、そしてカリフォルニア州の非営利財団The Health Trustおよびその子会社FASSが、データ侵害を公表しました。
ノースカロライナ州のリハビリ施設、11月のハッキング被害を患者に通知
ノースカロライナ州で複数の臨床・長期・リハビリケア施設を運営する事業者が、データセキュリティインシデントを報告しました。この被害により、Elevate Health & Rehabilitation、Bear Mountain Health and Rehabilitation、Swannanoa Valley Health and Rehabilitationの患者、合わせて約4,000人が影響を受けました。
2026年6月1日、同事業者は、名称非公開の第三者ベンダーが管理するファイルへの不正アクセスがあり、その一部が不正アクセス者によってコピーされていたことを把握しました。この不正な第三者は、盗まれた認証情報を使って2025年11月25日から2025年11月28日の間にシステムへログインしていました。取得されたファイルには、氏名、住所、メールアドレス、生年月日、社会保障番号、運転免許証番号、患者アカウント番号、診断内容などの医療情報を含む患者情報が含まれていました。
盗まれたデータは削除され、オンラインに公開されていないとの確約が得られており、このことはベンダー側が身代金を支払ったことを示唆しています。侵害された認証情報は無効化され、パスワードもリセットされたほか、患者情報のセキュリティとプライバシーを強化するための追加対策が講じられました。今回のデータ侵害は、Asheville Victoria NC Opco LLCがElevate Health & Rehabilitationの患者1,551人に影響したとして、Asheville Beaverdam NC Opco LLCがBear Mountain Health and Rehabilitationの患者1,397人に影響したとして、Asheville US Seventy NC Opco LLCがSwannanoa Valley Health and Rehabilitationの患者1,045人に影響したとして、それぞれ米保健福祉省(HHS)の公民権局(OCR)に報告されています。
オハイオ州の専門看護施設、Medusaランサムウェア攻撃の被害に
オハイオ州コロンバスを拠点とする専門看護・リハビリケア提供事業者のAtrium Centers Inc.は、2025年10月に発生したサイバーセキュリティインシデントについて患者に通知しました。2026年10月13日前後に、一部のコンピューターシステムで異常な活動が確認されました。第三者のサイバーセキュリティ専門家の支援を受けて調査した結果、Atrium Centersは、2025年10月8日から2025年10月12日の間に不正な第三者が特定のコンピューターシステムにアクセスしていたことを突き止めました。この期間中、患者および従業員のデータを含むファイルが閲覧またはコピーされていました。
ファイルを精査した結果、氏名、連絡先情報、人口統計情報、生年月日、社会保障番号、運転免許証番号、患者ID番号、医療記録番号、医療情報、医療保険情報、金融口座情報、保険請求情報が含まれていたことが判明しました。ファイルの精査は現在も継続中で、影響を受けた人数はまだ公表されていません。この確認作業が完了次第、影響を受けた個人には通知書が郵送される予定です。Atrium Centersは、同様のインシデントの再発防止に向けて技術的な安全対策を強化していると述べています。
Rockwood Retirement Communities、2026年2月のハッキング被害を公表
ワシントン州スポケーンを拠点とする高齢者向け施設運営組織のSpokane United Methodist Homes(通称Rockwood Retirement Communities)は、2026年2月に発生したハッキングインシデントの影響を受けた個人への通知を開始しました。2026年2月16日前後に、ネットワーク上で不審な活動が確認されました。同組織は直ちにシステムの安全確保に動き、第三者のサイバーセキュリティおよびデジタルフォレンジック専門家に調査を依頼しました。調査の結果、ネットワークへの不正アクセスと、そこからのファイル流出が確認されました。
第三者のデータ精査専門家が、影響を受けたデータについて包括的かつ時間を要する精査を実施し、連絡先情報の確認を経て、影響を受けた個人へ通知書が送付されました。これらの一連の対応は2026年7月27日に完了しています。今回のインシデントで侵害されたデータには、氏名、社会保障番号、生年月日、運転免許証番号/州発行の身分証明書番号、パスポート番号、金融口座情報、Medicaid/Medicare番号、医療情報、および/または医療保険情報といった個人情報および保護対象保健情報が含まれていました。Rockwood Retirement Communitiesは、これらのデータが実際に悪用された、あるいは悪用が試みられたという事実は確認していないとしています。
HHSの公民権局(OCR)には既に報告済みですが、今回のデータ侵害はまだOCRのデータ侵害ポータルに掲載されていないため、現時点で影響を受けた人数は明らかになっていません。
QilinがThe Health Trustへのハッキングの犯行を主張
政府機関・非政府組織を対象に、健康格差の是正と健康アウトカムの改善を支援するサービスを提供する、カリフォルニア州サンノゼを拠点とする非営利財団The Health Trustは、子会社であるFinancial Administrative Support Services(FASS)にも影響が及んだハッキングインシデントを確認しました。
2025年5月26日、FASSはコンピューターネットワーク内で不審な活動を検知しました。ただちにネットワークの安全確保に向けた対応が取られましたが、2025年6月11日にさらなる不審な活動が確認されました。セキュリティ評価と活動の調査を行う間、すべてのシステムは即座にオフラインにされました。フォレンジック調査の結果、2025年3月26日以前、および2025年6月8日から2025年6月11日の間に、特定のシステムへの不正アクセスがあったことが判明しました。
ネットワークの侵害された部分にあるファイルは、アクセスまたはコピーされていました。精査の結果、そこには氏名、社会保障番号、金融口座情報、政府発行の身分証明書番号、医療情報、医療保険情報が含まれていたことが判明しました。内部のデータプライバシーおよびセキュリティに関する方針、手順、プロトコルが見直され、同様のインシデントの再発を防ぐための追加のセキュリティ対策が導入されました。影響を受けた個人には、無償のクレジットモニタリングサービスが提供されています。脅威グループQilinは今回の犯行声明を出し、408ギガバイトのデータを流出させたと主張しています。
