電子カルテ企業のベラディグム、データ侵害で顧客情報が窃取されたと発表

電子カルテ企業のベラディグム(Veradigm)は火曜夜、規制当局に対し、ハッカーがベンダーのシステムに侵入し、社会保障番号を含む顧客情報を盗み出したと報告しました。 

ベラディグムは世界中の何千もの病院や医師に医療記録技術および管理システムを提供しており、2024年の売上高は5億9,400万ドルに上ります。 

シカゴを拠点とするベラディグムは、データ侵害がいつ発生したかについて具体的な時期を明らかにしていませんが、何者かが「同ベンダーがベラディグムの顧客に代わってサービスを提供する際に使用する[ベラディグム]アプリケーション・プログラミング・インターフェース(API)へのアクセス認証情報を、当該ベンダーの環境から取得した」と説明しています。

ベラディグムは米証券取引委員会(SEC)への8-K報告書の中で、「不正アクセス者はこれらの認証情報を使用し、患者の一部個人データ(場合によっては社会保障番号を含む)のコピーをダウンロードした。臨床データや医療データは含まれていない」と説明しています。 

ベラディグムによると、アクセスは特定のインターフェースに限定されており、ネットワークやサーバー、データベースなど同社のより広範な環境には影響が及んでいないとのことです。また、この侵害による業務上の支障は生じていないとしています。 

調査は依然として続いていますが、今回の侵害はすでに法執行機関に報告されています。同社はコメント要請に応じていません。

ランサムウェアグループ「ザ・ジェントルメン(The Gentlemen)」は金曜日、ベラディグムを自らのリークサイトに追加し、350万人分の患者の医療記録を盗み出したと主張しています。同グループは昨秋の登場以来数百件の攻撃を仕掛けており、最近では医療企業のニューテックス(Nutex)やアンメッド(AnMed)も攻撃対象としています。  

旧名オールスクリプツ(Allscripts)として知られていたベラディグムは、過去にもサイバーセキュリティ事案を経験しています。2019年にはSamSamランサムウェアグループの攻撃を受け、これにより何千もの病院で障害が発生し、複数の集団訴訟に直面しました。 

同社はまた、2025年12月にも別のサイバーセキュリティ事案を米保健福祉省(HHS)に報告しており、2024年12月の侵害で267万2,036人分の医療データが漏洩したと伝えています。 

標的となる医療業界

今年に入り、医療データ企業へのサイバー攻撃によって何百万人もの機密情報が流出する事態が相次いでいます。 

先週には、医療データ移行企業のアエスト(Aesto)がセキュリティ事案により900万人分の情報が漏洩したと発表しました。また、ベイラー・ジェネティクス(Baylor Genetics)も以前、6月のサイバー事案で280万人以上の医療検査情報や検査結果などが盗まれたと連邦規制当局に報告しています。

さらに、電子カルテ大手のケアクラウド(CareCloud)が絡んだ3月のサイバーセキュリティ事案では370万人が影響を受けたほか、ペイロジックス(Paylogix)を含む他の複数の企業も、ここ2週間の間に患者データや顧客データが関わるサイバー攻撃を発表しています。 

火曜日に更新されたSEC提出書類の中で、医療機器大手のボストン・サイエンティフィック(Boston Scientific)は、既に発表済みのサイバー攻撃による業務への影響が依然として続いていることを認めました。 

同社はハッカーの排除に成功し、影響を受けたシステムの一部を復旧させたものの、「流通ネットワークの大規模な復旧」を余儀なくされたと説明しています。心臓デバイス埋め込み向けの遠隔モニタリングサービスを管理するシステムについても、ようやく最近になって復旧させたばかりだといいます。 

同社は、この事案が財務実績に影響を及ぼす可能性が高く、当四半期の純売上高目標の達成を妨げるとの見方を示しました。 

ボストン・サイエンティフィックは「当社は、事業をグローバルに再稼働させ、顧客からの注文に対応し、残存する未処理案件を削減していく中で、影響を受けた売上の一部は回復すると見込んでいるが、全体的な影響については現時点ではまだ判明していない」と説明しています。