ミッドウェスト・スパイン・アンド・ブレイン研究所、ベンダーへのランサムウェア攻撃で影響

ミッドウェスト・スパイン・アンド・ブレイン研究所(Midwest Spine and Brain Institute)、ブルックヘブンENTアレルギー・アンド・フェイシャルサージェリー(Brookhaven ENT Allergy and Facial Surgery)、ダイジェスティブ・ディジーズ・センター・アンド・ハート・バスキュラー・アンド・レッグ・センター(Digestive Disease Center and Heart Vascular & Leg Center)、プレミア・メディカル・グループ・オブ・ザ・ハドソン・バレー(Premier Medical Group of the Hudson Valley)、リスク・プログラム・アドミニストレーターズ(Risk Program Administrators)、そしてテラス・ヘルス(米国)(Telus Health (US))がデータ侵害を公表しました。

ミッドウェスト・スパイン・アンド・ブレイン研究所(3Cケアシステムズ)

ミネソタ州とウィスコンシン州の患者を対象とする独立系医療クリニック、ミッドウェスト・スパイン・アンド・ブレイン研究所(MSBI)は、サービスプロバイダーの一つであるヘルスケアIT企業3Cケアシステムズ(3C Care Systems)で発生した過去の データ侵害について、患者への注意喚起を行いました。MSBIの通知書によると、同社は最近、患者データが3Cケアシステムズから不正にアクセスされ、または取得されたことを把握したとのことです。3Cケアシステムズは、ヘルスケア組織向けにワークフロー自動化、クラウドホスティングプラットフォーム、データ統合サービスを専門とするマネージドサービスプロバイダーです。3Cケアシステムズは独自にデータ侵害の調査を実施し、MSBIも独自に内部調査を行いました。

MSBIの調査により、同社の広範なネットワーク自体には影響がなく、3Cケアシステムズに提供されたデータのみが影響を受けたことが確認されました。調査は2026年6月18日に終了し、個人を特定できる情報および保護対象保健情報が関与した可能性があることが判明しました。具体的には、氏名に加えて、生年月日、医療処置・処置内容・診断情報、医療記録番号、医療提供者情報、処方情報、診療日、健康保険請求および/または保険証券情報のいずれか一つ以上が含まれていました。

MSBIは影響を受けた個人に通知書を郵送しており、社会保障番号が関与した個人に対しては無償の身元監視・保護サービスを提供しています。この事案は米保健福祉省(HHS)公民権局(OCR)の侵害報告ポータルにまだ掲載されておらず、影響を受けたMSBI患者の人数は不明です。

データ侵害の性質については情報が提供されていませんが、これは2024年11月21日前後に、現在は解散したランサムウェア集団RansomHubによるランサムウェア攻撃だったとみられます。RansomHubは3Cケアシステムズから100GBのデータを窃取したと主張していますが、同IT企業側から個別の侵害公表がなされた形跡はなく、その主張は未検証のままです。MSBI以外のクライアントのデータもこの事案で侵害されたかどうかは不明です。

ブルックヘブンENTアレルギー・アンド・フェイシャルサージェリー

ミシシッピ州ブルックヘブンにあるブルックヘブンENTアレルギー・アンド・フェイシャルサージェリーは、最近発生したサイバーセキュリティ事案により30,403人の個人情報および保護対象保健情報の一部が侵害されたことを通知しました。この事案は、サードパーティの電子カルテ(EHR)プロバイダーであるケアクラウド(CareCloud)に関連するもので、同社は一部の顧客に代わってHHS公民権局にデータ侵害を報告しています。OCRのデータ侵害ポータルに掲載されたケアクラウドの侵害情報によると、375万人が影響を受けたとされています。

事案は2026年3月10日から2026年3月16日の間に発生し、ファイル調査の結果、氏名、住所、生年月日、社会保障番号、運転免許証番号/政府発行ID番号、金融口座番号、クレジットカード/デビットカード番号、医療・健康保険情報が侵害された可能性があることが判明しました。ケアクラウドのデータ侵害の詳細については、こちらの記事をご覧ください。通知発行の時点では、影響を受けたデータの実際の悪用または悪用の試みは確認されていません。

シルバー・サミット・メディカル・コーポレーション(ダイジェスティブ・ディジーズ・センター・アンド・ハート・バスキュラー・アンド・レッグ・センター)、カリフォルニア州

ダイジェスティブ・ディジーズ・センター・アンド・ハート・バスキュラー・アンド・レッグ・センターの運営会社であるシルバー・サミット・メディカル・コーポレーション(Silver Summit Medical Corporation)は、サードパーティベンダーで発生したサイバーセキュリティ事案により一部の患者の保護対象保健情報が漏えいしたとして、該当する患者に通知しました。カリフォルニア州ベーカーズフィールドを拠点とするこの外来手術センターは、2026年7月20日前後にこの事案を把握しました。調査の結果、権限のない第三者が2025年11月27日から2025年11月30日の間に、名前を伏せられたベンダーのシステムにアクセスし、個人情報および保護対象保健情報を含むファイルを窃取したことが判明しました。

データ調査の結果、窃取されたファイルには氏名に加え、生年月日、社会保障番号、運転免許証番号、金融口座情報、決済カード情報、納税者番号、パスポート番号、その他の政府発行身分証明番号のいずれか一つ以上が含まれていたことが判明しました。保護対象保健情報には、診断内容、治療情報、処方情報、健康保険情報が含まれていました。影響を受けた個人には2026年8月19日に通知が行われ、無償の信用監視・身元盗用保護サービスが提供されています。この事案はまだHHS公民権局の侵害報告ポータルに掲載されていないため、影響を受けた人数は現時点では判明していません。

プレミア・メディカル・グループ・オブ・ザ・ハドソン・バレー、ニューヨーク州

ニューヨーク州ポキプシーを拠点とする総合診療グループ、プレミア・メディカル・グループ・オブ・ザ・ハドソン・バレーは、この夏発生したサイバーセキュリティ事案の影響を受けた患者への通知を開始しました。この事案により一部のITシステムが停止し、フォレンジック調査により2026年6月14日に患者情報を含むファイルへの不正アクセスがあったことが判明しました。同グループのウェブサイトに掲載された代替データ侵害通知には、事案がいつ検知されたかについての記載はありません。

影響を受けたデータの調査は2026年7月14日に行われ、漏えいしたファイルには患者の氏名、連絡先情報、生年月日、健康保険情報、医療提供者名、患者識別番号、診療日、投薬情報、診断・治療情報が含まれていたことが判明しました。プレミア・メディカル・グループは、システムを不正アクセスから保護するための強化された安全対策とセキュリティ対策の評価・導入を継続し、従業員へのセキュリティ研修も引き続き実施するとしています。影響を受けた人数はまだ公表されていません。

リスク・プログラム・アドミニストレーターズ

カリフォルニア州を拠点とする保険プログラムの運営・管理会社、リスク・プログラム・アドミニストレーターズLLC(RPA)は、今年初めに一部の個人情報および保護対象保健情報が漏えいしたとして、8,309人に通知しました。2026年6月16日前後、RPAは従業員のメールアカウント内で不審な活動を検知しました。同アカウントは保護され、調査が開始された結果、当該アカウントおよびその中の特定のメールが、2025年5月27日から2025年6月16日の間に権限のない第三者によってアクセスされていたことが確認されました。

このアカウントを調査した結果、氏名、生年月日、社会保障番号、金融口座情報、健康保険情報、そして治療の種類、場所、費用、担当医情報、心身の状態、被保険者番号、入院日を含む医療情報が含まれていたことが判明しました。

テラス・ヘルス(米国)

カナダの通信会社テラス(TELUS)傘下で、マサチューセッツ州キャントンを拠点とするデジタルヘルス・ウェルネスプロバイダーのテラス・ヘルス(米国)LTD.(TELUS Health (US) LTD.)は、保護対象保健情報を含むシステムへの不正アクセスを伴うデータ侵害を公表しました。テラス・ヘルスがウェブサイトに掲載した発表によると、調査は現在も継続中であり、この事案で侵害された情報の種類はまだ公表されていません。攻撃が正確にいつ発生したかは不明ですが、2026年1月に発生したとみられています。脅威グループShinyHuntersがこの攻撃の犯行を主張しており、1ペタバイト(1,000TB)のデータを窃取したとしています。

この脅威グループはブリーピング・コンピューター(Bleeping Computer)と接触しており、同メディアは2026年3月、Salesloft Driftの侵害で入手した侵害済みのGoogle Cloud認証情報を使ってシステムに侵入したと報じました。この侵害は本来大規模になり得るものでしたが、最近HHS公民権局に報告された内容によると、実際に保護対象保健情報が関与したのはわずか2,641人にとどまっています。テラス・ヘルスは、自社環境内のデータをより適切に保護するため、追加のセキュリティ対策を導入したとしています。