Aesto Health、950万人超のデータが流出する情報漏えい発生

Aesto Healthに対するサイバー攻撃が発覚してから間もなく1年が経とうとしていますが、その最も重大な詳細がようやく明らかになりました。影響を受けた人数は950万人を超えるとのことです。

Aestoは2025年12月、自社のAWSインフラで不審な活動を検知し、その後の調査で攻撃者が患者情報にアクセスした、あるいは取得した可能性があると判断しました。同社は6月24日にこのインシデントを公表しましたが、その時点では全容は明らかにされていませんでした。

BleepingComputerによると、Aestoはその後、米保健福祉省(HHS)に対し、影響を受けた個人の数が9,540,683人に上ると報告しています。同社は、このインシデントに関連した個人情報の不正利用や金融詐欺の証拠は確認されていないとしています。

12月の侵入から950万人規模の情報漏えいへ

このインシデントは昨年末に始まりました。Aestoによると、何者かが同社のAWSインフラの一部に不正アクセスしたとのことです。

同社は調査を開始し、その調査は翌年にかけて続きました。2026年5月26日までに、同社はこのインシデントの中で患者情報にアクセスされた可能性があることを確認しています。

その後、Aestoは6月26日に医療機関の顧客への通知を開始し、侵入が最初に検知されてからおよそ8か月後となる8月21日に、影響を受けた個人への通知を行いました。

HIPAA Journalは現時点で、今回の漏えいの影響を受けたことが確実な医療機関を30施設挙げています。

画像: HIPAA Journalのスクリーンショット

Aestoによると、影響を受けたユーザーについては、以下のうちいずれか、ただし必ずしもすべてではない情報が攻撃者にアクセスされた可能性があるとのことです。

• 氏名（フルネーム）
• 生年月日
• 医療情報
• 運転免許証番号
• 金融口座番号のみ
• 健康保険情報
• 個人納税者番号
• その他の政府発行ID番号、および一部の個人については社会保障番号(SSN)

今回の漏えいの犯人は依然として特定されておらず、同社は侵入の手口についても明らかにしていません。

医療機関を狙うサイバー攻撃が増加傾向に 

Aesto Healthは孤立した事例ではありません。医療分野では今年だけでも複数の情報漏えいが発生しています。MCBS、Boston Scientific、DentaQuestの各事例はいずれも、一部の脅威アクターがこの重要インフラ分野を標的にしていることを示しています。

これらのインシデントは規模や攻撃手法こそ異なりますが、医療分野が特にサイバーリスクにさらされやすい理由を浮き彫りにしています。医療機関やそのベンダーは、身元情報・金融情報・医療情報を大量に保有していることが多く、これらの情報は何年にもわたって機微な価値を持ち続けるためです。

こうした共通点は、医療機関とそのベンダーがアクセス管理、認証、権限設定、監視といった基本的な防御策の強化に取り組むべき理由を示しています。

すべての攻撃を防げるわけではありませんが、攻撃者をより早い段階で検知したり、侵害されたアカウントがアクセスできる範囲を制限したりすることで、漏えいの発生件数と、発生時に流出するデータ量の両方を減らせる可能性があります。 

一度に数百万人規模で影響が及ぶインシデントが繰り返されている現状を踏まえると、たとえ侵入が成功した場合でも、その被害範囲を縮小できるだけで大きな違いを生む可能性があります。

影響を受けた人が今すぐ取るべき対応

Aesto Healthから漏えい通知を受け取った場合は、すべての種類のデータが流出したと決めつけるのではなく、まず具体的にどの情報が対象になっているかを確認してください。Aestoによると、流出したデータの種類は個人によって異なるとのことなので、通知内容を確認することで自分が何を守るべきかが明確になるはずです。

• Aestoの本人確認保護サービスの提供を利用する: 影響を受けた個人には、個人情報盗難保護サービスとクレジットモニタリングが提供されています。BleepingComputerの報道によると、補償期間は24か月とのことですが、正確なサービス内容と登録期限については通知書で確認してください。
• 金融口座を注視する: 身に覚えのない取引、新規口座の開設、その他心当たりのない活動がないか確認してください。 
• クレジットフリーズの検討: 社会保障番号やその他の政府発行ID情報が流出した場合、クレジットフリーズを利用することで、第三者が自分名義で新たな与信口座を開設するのを防ぐ助けになります。
• 予期しない連絡には注意する: 流出した個人情報や医療情報は、フィッシング詐欺をより巧妙に見せる材料になり得ます。パスワードや支払い、追加の個人情報を求める予期しないメール、テキストメッセージ、電話には注意してください。
• 漏えい通知書は保管しておく: Aestoからの通知書や、記載されている参照番号・指示事項は保管しておいてください。信用情報機関、法執行機関、金融機関、あるいはAestoのサポートチームに連絡する際に必要になる場合があります。

氏名、政府発行ID、金融情報、医療情報は、漏えい発生後も長期間にわたって犯罪者にとって利用価値を持ち続ける可能性があるため、影響を受けた人は、無料モニタリング期間が終了した後も不審な活動がないか注意を続けるべきです。 

Aestoは、これまでのところ本件に関連した個人情報盗難や金融詐欺の証拠は確認されていないとしています。

その他のニュース: CrowdStrikeと国際的な法執行機関のパートナーらが、20年以上にわたって活動を続けてきたSalityボットネットを摘発しました。協調的なピアツーピア(P2P)シンクホール作戦により、運用者を感染システムから遮断しました。