フランスのデータ保護当局(CNIL)は、患者およびその家族のデータを適切に保護しなかったとして、Hôpital privé de la Loireに対し50万ユーロ(58万ドル)の制裁金を科しました。
同当局によると、このセキュリティ上の不備が原因で2025年夏にデータ漏洩が発生し、患者524,867人分と、信頼できる第三者として指定された202,246人分の機微なデータが流出したとしています。
Hôpital privé de la Loire(HPL)は、サンテティエンヌにある総合病院で、Ramsay Santéヘルスケアグループの傘下にあり、内科・外科・産科・がん治療・集中治療・救急といった医療サービスを提供しています。
同病院はスタッフ650人(うち医師180人)を抱え、5つの診療部門にまたがる333床を有しており、報告によれば年間6万人の患者を診療しています。
昨年、攻撃者が同病院の電子カルテシステムに侵入し、HPLで治療を受けた人、患者に付き添った人、あるいは何らかの形で支援した人を含む72万7,000人以上の機微なデータを窃取しました。
この事案を受けてCNILが調査を実施したところ、同病院が一般データ保護規則(GDPR)上の義務を遵守していなかった複数の不備が判明しました。
CNILの調査で判明した不備には、以下のようなものが含まれます。
- 開業医を含む外部ユーザーが、VPNや多要素認証なしでシステムにアクセス可能だった
- アクセス制御が不十分で、侵害されたアカウントが病院の全患者記録にアクセスできる状態だった
- リアルタイムまたはほぼリアルタイムでの監視・警告体制が存在せず、攻撃者は検知されることなく数日間にわたりシステム内を探索し、大量のデータを抽出できた
- 病院は影響を受けた患者には通知したものの、データを窃取された202,246人の信頼できる第三者に対しては直接の通知を行わなかった
上記の違反はGDPR第32条および第34条に関連するものです。同委員会はまた、HPLが審理の過程でセキュリティ強化に向けた複数の対策を講じたことにも言及しています。
「Marak」というエイリアスを使う10代のハッカーが犯行を認め、当時Telegram経由でフランスのメディアLe Progrèsに連絡を取り、攻撃は1人の医師のアカウントの侵害から始まり、そこからHPLの内部システム全体にアクセスできるようになったと説明しました。
このハッカーは窃取したデータを1人の買い手に2,000ユーロから5,000ユーロの間で売却しようとしていましたが、その後の報道によれば、データは結局売却も公開もされなかったとのことです。
