在宅医療機器・サプライ・関連サービスを提供する企業AdaptHealthは、7月に発覚したサイバー攻撃によって410万人分のデータが流出したことを確認しました。この攻撃はShinyHuntersという脅威グループによるものとされています。
同社は、睡眠時無呼吸症候群・呼吸器関連機器、酸素療法機器、病院用ベッド、モビリティ製品など、在宅医療機器やサプライ、関連サービスを提供しています。
AdaptHealthは2026年7月2日、米証券取引委員会(SEC)への提出書類の中で今回のインシデントを初めて開示し、攻撃者がシステムに侵入し個人情報を窃取したことを明らかにしていました。
当時のAdaptHealthの調査では、侵入はそれ以前に発生しており、クラウドベースの業務アプリケーション(社内の患者管理システム、文書保管プラットフォーム、電子カルテシステムのポータルの一部を含む)へのアクセスが行われていたことが確認されていました。
6月15日には、身元不明の脅威アクターがAdaptHealthに接触し、窃取したデータを流出させない見返りとして身代金の支払いを要求しました。
AdaptHealthによると、今回の侵害はサードパーティ契約業者の特権アカウントを標的としたソーシャルエンジニアリング攻撃によって発生したものだといいます。
8月14日のアップデートで、AdaptHealthは侵害が6月5日に発生したことを明らかにし、以下のデータが流出した可能性があるとしています。
- 氏名
- 連絡先情報
- 人口統計情報
- 健康保険情報
- 健康情報
影響を受けた個人にはすでにデータ侵害の通知が送付されており、無料の12カ月間クレジットモニタリングおよびID保護サービスへの登録方法が案内されています。
AdaptHealthは当時、今回の攻撃で窃取されたデータが不正利用され、なりすましや詐欺などの被害につながった証拠は確認されていないとしていました。
同社のウェブサイトの情報によると、AdaptHealthは2024年7月時点で680拠点のネットワークを通じ、米国全50州で約410万人の患者にサービスを提供していました。
米保健福祉省(HHS)への提出書類によると、AdaptHealthのデータ侵害の影響を受けたのは4,115,802人とされています。
HIPAA Journalは以前の報道で、脅威アクターが被害者リストに同社を追加していたことを根拠に、今回の攻撃の犯行はShinyHuntersによるものだと伝えていました。
しかし、BleepingComputerがShinyHuntersの恐喝サイトを確認したところ、AdaptHealthの記載は見当たりませんでした。これは、脅威アクターが同社をリストから削除したことを示している可能性があります。
AdaptHealthによる今回のデータ侵害の影響範囲の確認は、ヘルステック企業のAesto Health、CareCloud、Unlimited Technology Systemsによる、これまでの同様の開示に続くものです。
McKessonとNutex Healthも先月末にデータ侵害インシデントを開示していますが、いずれも影響を受けた人数はまだ判明していません。
