NFI North、約5万人に影響するデータ侵害を公表

ニューハンプシャー州のNFI North、カンザス州のNephrology Associates、ハワイ州のPAMCAH-UA Local 675 Health and Welfare Fund、マサチューセッツ州のIndico Data Solutionsが、それぞれデータ侵害を公表しました。

NFI North, Inc.

ニューハンプシャー州コントゥークック(Contoocook)を拠点とし、ニューハンプシャー州とメイン州で精神保健・行動支援・教育支援サービスを提供する非営利団体NFI North, Inc.は、49,540人分の保護対象保健情報(PHI)が侵害されたことを、米保健福祉省(HHS)公民権局(OCR)に通知しました。

NFI Northの代替侵害通知によると、2025年9月6日前後に、同社ネットワーク内で不審な活動が確認されました。調査およびデータ精査は2026年7月6日に完了し、氏名、住所、生年月日、社会保障番号、運転免許証番号、金融口座情報、医療情報、健康保険情報が今回の侵害で漏えいしたことが確認されました。NFI Northはサイバーセキュリティの専門家を起用して調査支援に当たらせており、今後同様の事案を防ぐため、追加の技術的セーフガードも導入済みです。

Nephrology Associates

慢性腎臓病をはじめとする腎疾患の患者を診療する、カンザス州とミズーリ州の診療所ネットワークNephrology Associates, M.D., P.A.は、24,088人に影響するデータセキュリティインシデントを公表しました。2026年4月9日前後にネットワーク上で不審な活動が確認されました。外部のサイバーセキュリティ専門家の支援を受けた調査の結果、2026年1月17日から2026年4月9日の間に、権限のない第三者がネットワークにアクセスしていたことが判明しました。影響を受けたシステムを精査した上で、2026年7月1日、同診療所は氏名、生年月日、社会保障番号、運転免許証番号/州発行の身分証明書番号、その他の政府発行識別情報、診断・治療情報、健康保険情報が今回の侵害で流出したことを確認しました。

2026年7月30日前後から、影響を受けた個人への通知書の郵送が開始されました。通知の発送時点で、Nephrology Associatesは、流出したデータが実際に悪用された、あるいは悪用が試みられたという事実は把握していませんでした。なりすまし被害や詐欺への対策として、社会保障番号が流出した個人には無償のクレジットモニタリングサービスが提供されています。データ侵害通知には明記されていませんが、この攻撃はサイバー犯罪グループ「The Gentlemen」によるものとみられます。データが実際に漏えいした形跡はないものの、同グループはこのデータを販売用として提示しています。

PAMCAH-UA Local 675 Health and Welfare Fund

ハワイ州ホノルルを拠点とし、組合所属の配管工・空調工とその家族に医療・歯科・視力・福利厚生給付を提供する複数事業主信託基金、PAMCAH-UA Local 675 Health and Welfare Fundは、一部従業員のメールアカウントへの不正アクセスを確認したと発表しました。

フォレンジック調査により、2025年9月23日から2025年10月9日の間に、権限のない第三者が特定の従業員のメールアカウントにアクセスしていたことが判明しました。この間、アカウント内のメールやファイルが閲覧または取得された可能性があります。当該アカウントを精査した結果、氏名、生年月日、医療情報、健康保険情報、運転免許証番号、社会保障番号を含む8,319人分の個人情報・保護対象保健情報が含まれていることが判明しました。現在、影響を受けた個人に対し、データ悪用から身を守る方法についての情報を記載した通知書が郵送されています。

Indico Data Solutions

インテークおよびオーケストレーションプラットフォームなどを手掛ける、マサチューセッツ州を拠点とするAI活用型ソフトウェア企業Indico Data Solutions, Inc.は、4,840人分の保護対象保健情報に関わるデータセキュリティインシデントを公表しました。データ侵害通知からは、インシデントがいつ検知されたのか、また権限のない第三者がどのくらいの期間システムにアクセスしていたのかは明らかではありませんが、Indico Data Solutionsが2026年5月7日にサイバーセキュリティインシデントの発生を確認したことのみが記されています。今回の侵害で流出した可能性のあるデータには、氏名、住所、社会保障番号が含まれます。

Indico Data Solutionsは、このインシデントを受けてアクセス認証情報のローテーション、アクセス制御の強化、追加の監視ツールの導入など、複数の対策を講じています。影響を受けた法人顧客には既に通知が行われており、Indico Data Solutionsは影響を受けた個人にも通知書を郵送するとともに、無償のクレジットモニタリングおよびID復旧サービスを提供しています。