2026年6月版:医療機関データ侵害レポート

2026年6月には、500人以上の個人の保護対象保健情報(PHI)が関わる大規模な医療機関データ侵害が66件、米国保健福祉省(HHS)公民権局(OCR)に報告されました。5月に報告された64件からわずかに増加した形です。1日に2件以上の大規模データ侵害が発生するのが、もはや当たり前になっています。過去12カ月では、大規模な医療機関データ侵害が平均で1日あたり65件のペースで報告されており、8年前の2018年当時は1日あたり約1件のペースだったことを考えると、その差は歴然です。

年初来(1月1日~6月30日)の累計データを見ると、医療機関のデータ侵害件数は2024年の同時期比で3.2%減、昨年の同時期比で6.4%減となっています。ただし、2022年や2023年と比べると依然として著しく高い水準で発生し続けています。

6月に発生した66件の大規模データ侵害では、少なくとも4,499,972人分の保護対象保健情報が流出・窃取、あるいは許可なく開示されました。侵害調査が続いているため、この数字は今後さらに増加する見込みです。現時点でのデータに基づくと、1件あたり平均で68,181人が影響を受けており、被害件数の中央値は6,306人でした。6月の被害者総数はかなりの規模ですが、前月比では36.3%減少しており、12カ月平均の1,090万6,096人と比べると58.7%も低い水準です。なお、この12カ月平均は2025年10月に異例の高水準となったことで押し上げられている点に留意する必要があります。

2026年の年初来の累計データは、ここ数年と比べて大幅な改善を示しています。2026年に入ってから保護対象保健情報が流出・窃取、あるいは許可なく開示された人数は約3,400万人に上るものの、これは2024年の過去最高だった5,440万人と比べて37.7%減、2025年と比べても22.1%減となっています。

2026年6月に報告された最大規模の医療機関データ侵害

6月には、1万人以上に影響が及んだ医療機関データ侵害が25件、HHSに報告されました。 今月最大規模の2件のデータ侵害は、いずれもHIPAA適用対象事業者のビジネスアソシエイト(業務委託先)で発生したもので、そのうち最大だったのはXsolisが報告した事案で、約140万人に影響が及びました。Xsolisは、医療機関向けにケースマネジメントおよび利用管理のためのAI活用ソリューションを提供するテクノロジー企業です。この事案は2026年1月に発生し、発端はフィッシングメールでした。フィッシング攻撃により、脅威アクターは4日間にわたってシステムとデータへのアクセス権を得ていました。この事案で流出したファイルには、氏名、生年月日、社会保障番号、医療保険情報、診療情報が含まれていました。

今月2番目に大きなデータ侵害は、MCBS(Medical Computer Business Services)で発生し、125万人以上に影響が及びました。MCBSは医療機関向けの請求業務、管理業務、収益サイクル管理を手がける企業です。PEARと呼ばれるデータ窃取・恐喝グループが同社のネットワークに侵入し、ファイルを窃取したうえで、データの公開を回避する見返りに身代金を要求しました。この脅威グループは2025年9月に4日間にわたってネットワークへのアクセス権を保持しており、氏名、住所、生年月日、社会保障番号、病歴、医療保険情報などの機微情報を含むファイルを窃取していました。

もう一件の重大な侵害は、病院など医療提供者向けに診断検査サービスを行うニュージャージー州拠点のCenters Lab NJによって報告されました。こちらもデータ窃取・恐喝事案で、54万2,000人超の保護対象保健情報が関わっています。Worldleaksと名乗る脅威グループが犯行声明を出しており、2025年8月に5日間にわたって同社のネットワークにアクセスしていました。この事案で窃取されたデータには、氏名、生年月日、社会保障番号、パスポート番号、運転免許証番号/州発行ID番号、医療情報、医療保険情報が含まれていました。

6月には、影響人数が500人または501人としてHHSに報告されたデータ侵害が9件ありました。これらの数字は、データ調査が継続中で、HIPAA侵害通知規則が定める60日間の報告期限が到来した際に、暫定値として用いられることが多い数字です。HIPAAでは、影響を受けた人数の総数がまだ確定していない場合、推定値を提出することが義務付けられています。以下の表にあるデータ侵害は、当初の報告よりもはるかに大規模なものであることが後に判明する可能性があります。影響を受けた人数の総数が確定するまでには、数週間、あるいは数カ月かかることもあります。

2026年6月の医療機関データ侵害の原因

1万人以上に影響が及んだ25件のデータ侵害のうち、1件を除くすべてがハッキングによるものでした。6月に報告されたすべてのデータ侵害を見ると、81.8%がハッキング/ITインシデントによるもので、これらの事案で1,481,468人が影響を受けました。これは6月に発生したデータ侵害全体の被害者数の89.7%に相当します。平均の侵害規模は81,091人、中央値は6,504人でした。

今月最大の不正アクセス/不適切開示事案は、Meridian Health Plan of Illinoisで発生し、21,027人に影響が及びました。原因は、患者情報の管理や請求処理を行うポータルへのアクセス権を、本来アクセス権を持たない医療提供者に従業員が付与してしまったことでした。6月には不正アクセス/不適切開示事案が11件発生し、月間のデータ侵害件数の16.7%を占めています。これらの事案で影響を受けたのは10,914人で、月間の被害者数の2.7%に相当します。平均の侵害規模は10,914人、中央値は6,721人でした。また、不適切な廃棄事案が1件報告され、推定1,000人の患者に影響が及びました。紙の記録がシュレッダー処理に回されず、通常のゴミと一緒に廃棄されたことが原因です。6月には紛失・盗難事案の報告はありませんでした。

侵害を受けた保護対象保健情報の所在

以下の棒グラフは、2026年6月に発生した医療機関データ侵害において、侵害を受けた保護対象保健情報がどこに存在していたかを示しています。最も多かったのはネットワークサーバーで、次いでメールアカウント、電子健康記録(EHR)の順となっています。

HIPAA適用対象事業者におけるデータ侵害

HIPAA適用対象事業者(医療提供者、健康保険プラン、医療クリアリングハウス)でデータ侵害が発生した場合、HIPAA侵害通知規則により、発見から60日以内に侵害を報告することが義務付けられています。HIPAA適用対象事業者のビジネスアソシエイトでデータ侵害が発生した場合は、そのビジネスアソシエイトが同じ期限内に、影響を受けた各適用対象事業者に通知しなければなりません。

最終的には、影響を受けた適用対象事業者が、通知を受けてから60日以内にHHS、対象個人、そして場合によってはメディアへの通知が行われるよう責任を負います。HIPAA適用対象事業者は、通知の責任をビジネスアソシエイトに委任することも可能ですが、自ら通知を行うことを選択する事業者もあります。 OCRの侵害報告ポータルにある生データは、実際に侵害が発生した事業者ではなく、報告を行った事業者に基づいて集計されています。6月には、医療提供者が45件、ビジネスアソシエイトが14件、健康保険プランが7件のデータ侵害を報告しました。以下の円グラフは、報告事業者ではなく、実際に侵害が発生した場所を示すことで、ビジネスアソシエイトにおける侵害の実態をより正確に反映しています。

医療機関データ侵害の地理的分布

6月には、米国24州のHIPAA適用対象事業者が大規模な医療機関データ侵害を報告しました。フロリダ州とテキサス州が最も被害の多い州で、それぞれ7件の侵害が報告されています。

フロリダ州とテキサス州は侵害件数では上位でしたが、影響を受けた人数で見るとそれぞれ4^位と6^位にとどまりました。影響人数で首位となったのはテネシー州、ジョージア州、ニュージャージー州で、いずれも大規模データ侵害は1件のみでした。

2026年6月のHIPAA執行活動

6月、OCRは米国のショッピングモール系小売業者Spencer Giftsによる、HIPAA規則違反の可能性を解決するための執行措置を1件発表しました。小売業者は通常、HIPAA適用対象事業者には該当しませんが、Spencer Giftsは従業員向けの福利厚生プランを提供していることから、HIPAA上の健康保険プランに該当します。Spencer Giftsは、同社の柔軟な福利厚生プランの加入者10,023人分の保護対象保健情報が侵害されたとの報告をOCRが受けたことをきっかけに、調査対象となりました。OCRの調査により、Spencer GiftsがHIPAAに準拠したリスク分析を実施していなかったこと、およびHIPAAのプライバシー規則、セキュリティ規則、侵害通知規則に基づくポリシーと手順を導入していなかったことが判明しました。このHIPAA違反疑惑は、45万ドルの制裁金と是正措置計画を含む和解により決着しました。

2026年6月30日までの1年間で、OCRは7件のHIPAA調査を制裁金付きで解決しており、制裁金の合計は1,728,000ドルに上ります。これら7件の調査すべてでリスク分析の不備が指摘され、うち2件では侵害通知の不備も認められました。州の司法長官もデータ侵害を調査し、HIPAA違反に対して制裁金を科すことがありますが、2026年6月にはそうした事案の発表はありませんでした。

本レポートについて

HIPAAジャーナルの月次データ侵害レポートは、HHS公民権局から入手したデータに、その他の情報源からの侵害報告データを組み合わせて作成しています。本レポートに掲載したデータ侵害は2026年6月に報告されたものですが、実際の発生時期は数週間から数カ月前にさかのぼります。本レポートの数値は、HIPAA適用対象事業者が侵害調査を完了するにつれて増減する可能性があり、その変動は当社の医療機関データ侵害統計ページおよび年次HIPAAデータ侵害レポートに反映されます。HIPAA執行措置に関する詳細情報は、当社のHIPAA違反事例ページをご覧ください。