米国の医療プロバイダーであるNutex Healthは、脅威アクターが患者情報を含む機密データを窃取し、オンライン上での公開を予告していると発表しました。
米国内各地で医療施設を運営するテキサス州拠点の同社は、8月31日に証券取引委員会(SEC)への8-K報告書の中でこの件を通知しました。
Nutexは報告書の中で、「当社サーバー上で管理されていた一部情報に対し、権限を持たない第三者によるアクセスおよび窃取があったと考えられる。これには、患者・従業員・資格を持つ医療提供者、および非公開・機密扱いとなる事業・財務情報が含まれる」との見解を示しました。
同社はさらに、「当該第三者は、これらの情報を外部に公開すると脅迫している」と付け加えています。
Nutexは、今回のインシデントで他にも窃取されたデータがあるかどうかについて引き続き調査を進めており、オンライン上での情報流出についても監視を続けるとしています。
また、影響を受けたすべての患者に対して、今回のデータ侵害について通知する方針であることも確認しました。
現時点で、今回のインシデントが事業運営や財務報告システムに重大な影響を及ぼした事実は確認されていません。
Nutexは8月24日、社内のコンピューターネットワーク上に保存されていたデータに関して不正なアクティビティを検知したとして、最初にSECへ報告していました。
Nutexによると、この最初の報告の後、8月27日には、今回のインシデントに関連して個人を特定できる情報(PII)および/または保護対象保健情報に権限のない第三者がアクセスした、あるいはこれを取得した可能性のある個人を代表する集団訴訟(クラスアクション)が提起されたということです。
Nutexは、「現段階では、当社は本訴訟の結果を予測することも、本インシデントが当社の事業戦略、事業運営、財務状況、経営成績、あるいは当社普通株式の取引価格に及ぼす潜在的な影響を見積もることもできない」と述べています。
法律事務所のEdelson Lechtzin LLPは9月1日、今回のデータ侵害について独自に調査を進めていると発表し、影響を受けた個人の権利について無償で評価を行うとしています。
Nutexは米国12州で27を超える医療施設を所有・運営しており、2026年上半期には報道によれば約10万人の患者に対応したとされています。
悪名高いランサムウェア集団が犯行を主張
ランサムウェア集団The Gentlemenは、ダークウェブ上の自らのポータルにNutexを掲載し、今回の攻撃について犯行を主張していると報じられています。
このランサムウェア・アズ・ア・サービス(RaaS)組織は2025年半ばに初めて確認された集団で、アフィリエイトの急速な拡大に伴い2026年に入って活動が急増しています。
Sophosが9月1日に公開した分析レポートでは、被害者が幅広い業種にわたっていることを踏まえ、The Gentlemenのアフィリエイトが日和見的に標的を選んでいる実態が指摘されています。
なかでも医療分野は、製造業の10%に次いで全体の9%を占め、The Gentlemenが2番目に多く標的とする業界となっています。
アフィリエイトは通常、ファイアウォールの脆弱性を悪用したり、VPNサービスを不正利用したりすることで、被害者環境への初期アクセスを獲得しています。
8月28日には、米国最大級の医療用品卸売会社の一つであるMcKessonが、腫瘍学・複数専門診療(Oncology & Multispecialty)部門および外科・内科(Medical-Surgical)部門の顧客に影響するデータ侵害に見舞われたことを確認しています。
報道によれば、最大で2億8,400万件のレコードが侵害された可能性があり、McKessonは5,500万ドルの身代金を要求されたとされています。
ランサムウェア集団ShinyHuntersも自らのリークサイトに同社に関する投稿を掲載し、数億件規模のレコードを侵害したと主張しています。
翻訳元: https://www.infosecurity-magazine.com/news/nutex-patient-data-stolen/
