医療テクノロジー企業のVeradigmは、サードパーティベンダーで発生したサイバーセキュリティインシデントにより患者の個人データが流出したとして、データ漏洩を公表しました。
同社によると、今回のインシデントによる業務への支障はなく、影響を受けた顧客の数も少数にとどまるとしています。
Veradigmは、旧社名Allscripts Healthcare Solutionsとして知られていたシカゴを拠点とする医療テクノロジー企業で、電子健康記録(EHR)、電子処方箋、患者エンゲージメント、診療管理、収益サイクル管理向けのソフトウェアを医療機関に提供しています。
米国内の数千の病院、クリニック、バイオ製薬企業が同社のソリューションを利用しています。
同社が米証券取引委員会(SEC)に提出した届け出によると、攻撃者は顧客サービス用に確保されたVeradigmのAPIに対し、あるベンダーの環境から認証情報を窃取しました。攻撃者はこのアクセス権を悪用し、患者データをコピーしたということです。
Veradigmの発表では、流出したデータには一部の患者の個人情報と社会保障番号(SSN)が含まれるとされています。一方、臨床情報や医療情報については無事だったとしています。
同社はSECへの届け出の中で、「ベンダーの侵害された認証情報でアクセス可能だったのはこの限定的なインターフェースのみであり、当社のより広範なネットワーク、サーバー、データベース、その他のシステムを含む、環境の他の部分へのアクセスは許可されていませんでした」と説明しています。
Veradigmは漏洩の発覚後、インシデント対応手順を開始し、法執行機関に通報するとともに、現在被害範囲の特定に向けた調査を進めています。
影響を受けた顧客および個人には通知が行われており、該当する場合には信用監視サービスも提供されています。
調査は現在も継続中ですが、現時点で判明している情報に基づく限り、Veradigmは今回のインシデントが自社の事業、業務、財務状況、業績に重大な影響を及ぼす可能性は低いとの見方を示しています。
The Gentlemenランサムウェアが犯行を主張
Veradigmの発表では攻撃者の身元は特定されていませんが、ランサムウェア集団The Gentlemenが9月5日にこの侵入を自らの犯行だと主張し、自身のデータ漏洩サイトに同社を掲載しました。
この脅威アクターは、氏名、自宅住所、社会保障番号、メールアドレス、電話番号、個人を特定できる情報や保証人情報を含む350万件の患者記録を保有していると主張しています。
このランサムウェアグループは、同社が身代金支払いの交渉に応じなければ、9月11日の金曜日までに窃取したデータを公開すると脅迫しています。
The Gentlemenという脅威アクターは2025年半ば頃に出現し、データ窃取とWindows、Linux、NAS、BSD、ESXiシステムへのデータ暗号化を組み合わせた二重恐喝型の攻撃を展開しています。
同グループはデータ漏洩サイト上で、製造業、テクノロジー、医療、運輸、金融サービスなどさまざまな業種にわたる86カ国、800件超の被害者を公開しており、アクセスできる対象であれば手当たり次第に狙う日和見的な攻撃パターンをうかがわせています。
2026年4月には、Check Pointの報告により、1,500台超のホストで構成されるSystemBCプロキシマルウェアのボットネットが発見され、The Gentlemenランサムウェア集団の関連アフィリエイトとの関連が指摘されました。
2026年6月には、ESETの発表により、The GentlemenがGentleKillerと呼ばれる新たなEDR(エンドポイント検知・対応)キラーを使用していることが明らかになりました。
