- Aesto Healthは2025年12月にAWSインフラが侵害されるサイバー攻撃を受けたと報告、影響は950万人の患者に及ぶ
- 流出したデータには個人情報、社会保障番号、病歴、請求情報、20社以上の顧客企業にわたる保険情報が含まれる
- ダークウェブでの流出は確認されていないが、信用監視サービスを提供。2026年で2番目の規模となる医療分野の情報漏えい
米国の医療テクノロジー企業Aesto Healthは、今年これまでで「2番目に大きい確定的な医療分野のデータ漏えい」に見舞われ、950万人を超える患者のデータを失いました。
同社は昨年12月中旬にサイバー攻撃を受けました。それから半年以上が経過した今になって、米保健福祉省(HHS)の公民権局(Office for Civil Rights)にこのインシデントを報告し、何が失われたのか、誰から流出したのか、被害の範囲はどの程度かを詳しく説明しています。
Aesto Healthはアラバマ州を拠点とする医療テクノロジー企業で、主な事業は他の医療機関の医療データ管理や電子カルテ(EHR)システムの移行支援などです。同社の発表によると、今回の攻撃はAmazon Web Services(AWS)インフラの一部に影響を及ぼしており、身元不明の攻撃者が12月2日から12月18日の間にアクセスに成功していたとのことです。
個人を特定できる情報が流出
HIPAA Journalの報道によると、8月に発覚したこの攻撃は、Village Practice Management、Everside Health、Together Women’s Health Medical Groupをはじめとする20社を超える同社の顧客企業に影響を及ぼしました。
今回の攻撃で同社は、顧客企業の患者に関する個人を特定できる情報(PII)を失いました。具体的には、氏名、社会保障番号(SSN)、生年月日の一部、運転免許証番号、州発行の身分証明書番号、金融口座番号、納税者番号、医療記録、病歴、請求・保険金請求情報、健康保険情報などが含まれます。
これらの情報があれば、サイバー犯罪者は極めて巧妙なフィッシングやビッシング(音声フィッシング)攻撃を仕掛けることが可能で、それが破壊的なランサムウェア攻撃や数百万ドル規模の被害につながるおそれもあります。幸い、データがダークウェブに流出した証拠や、すでに他の犯罪者に悪用されたことを示す証拠は今のところありません。
Aesto Healthは現在、今回の漏えいで影響を受けたすべての人に対し、信用監視サービスおよび個人情報盗難保護サービスを提供しています。
HIPAA Journalの確認によると、これは今年これまでで2番目の規模となる医療分野のデータ漏えいであり、最大の被害はDentaQuestを襲った1,500万件のレコード漏えいでした。
