テキサス州ヒューストンを拠点とするヘルスケア管理・運営企業ニュテックスヘルス(Nutex Health)は、米国12州で27の小規模病院、専門病院、外来施設を通じて医療サービスを提供していますが、サーバーの一部からデータが窃取されるサイバー攻撃を受けたことを公表しました。同社は現在、データ窃取の範囲を特定するため調査を進めており、医療従事者、従業員、患者のデータが漏洩または窃取されたかどうかを確認しています。
この事案は、2026年8月24日付で米証券取引委員会(SEC)に提出されたItem 8.01様式8-Kの届出で公表されました。ニュテックスによると、同社のコンピューターネットワークに保存されたデータに関して不正な活動があったことを最近把握したとのことです。同社はインシデント対応計画を発動し、封じ込め措置を実施するとともに、独立した第三者のサイバーセキュリティ対応チームおよびフォレンジック専門家を起用し、調査とデータ漏洩・窃取の範囲特定を支援させています。
同届出によると、ニュテックスはこの事案について現在も評価を続けている段階であり、個人情報や機密データが侵害されたかどうかはまだ判明していないとしています。この時点でニュテックスは、今回の不正アクセスが同社の事業戦略、業務、財務状況、経営成績に重大な影響を及ぼした、あるいは及ぼす合理的な可能性は低いとの見解を示していました。ニュテックスは攻撃の背後にいる脅威グループの名称や、身代金要求を受けたかどうかは公表していませんが、脅威アクターによって個人情報や機密情報が公開される可能性があることは認識していました。この時点では、どのサイバー犯罪グループも攻撃への関与を主張していませんでした。
その後、2026年8月31日にニュテックスはSECにItem 1.05様式8-Kの届出を提出し、これが重大なサイバーセキュリティ事案であることを正式に認めました。2026年8月31日付の届出には、「現在進行中の調査結果に基づくと、当社は、当社サーバー上で管理されていた一部の情報が、権限を持たない第三者によってアクセスされ、窃取されたと考えている。これには、個人情報および機密情報に該当する患者・従業員データ、資格を持つ医療従事者に関する情報、事業情報、財務情報が含まれる」と記載されています。
ニュテックスはまた、脅威アクターが窃取したデータを公開すると脅迫していることも認めましたが、現時点では事業運営や財務報告システムへの重大な影響は確認されていないとしています。同社は、患者、従業員、資格を持つ医療従事者、機密性の高い事業・財務情報、知的財産、その他の情報がどの範囲でアクセス、取得、窃取された可能性があるかについて、引き続き評価を進めています。
ニュテックスへの攻撃の背後にいる脅威グループは、The Gentlemenとみられます。これは2025年半ばに初めて出現し、2026年に入って攻撃を大幅に強化しているRaaS(ランサムウェア・アズ・ア・サービス)組織です。同グループの攻撃は日和見的な性格を持つとみられますが、医療分野は攻撃全体の約9%を占めています。The Gentlemenは二重恐喝の手口を用いており、機密データを窃取したうえで、ファイルの復号と窃取データの公開阻止と引き換えに身代金を要求します。
翻訳元: https://www.hipaajournal.com/nutex-health-data-breach/
