セキュリティ
Have I Been Pwnedが流出記録を確認、患者・従業員・医療提供者に及ぶ
先月発生したMcKessonへのサイバー攻撃は、Have I Been Pwned(HIBP)によると約640万人に影響を及ぼしていたことが分かりました。
この情報漏えい通知サービスが、常習的な恐喝集団ShinyHuntersによって流出したデータを登録したことで、今回初めて攻撃の規模が明らかになりました。
ShinyHuntersは当初、8月にこの医療・医薬品供給企業から2億8,400万件の文書を盗み出したと主張していましたが、HIBPはこの数字を確認していませんでした。
このサイバー犯罪集団はThe Registerに語ったところによると、McKessonのデータ公開を阻止するために5,520万ドルの恐喝要求を行ったとのことです。しかし、その後実際にデータが公開されたことから、支払いは行われなかったとみられます。
HIBPは次のように述べています。「影響を受けたデータは、マーケティングキャンペーンの受信者、患者、従業員、医療提供者の担当者など、さまざまな個人や役割に関連するものでした」
流出した情報の種類は個人ごとに異なりますが、記録全体としては氏名、メールアドレス、住所、性別、生年月日、電話番号、勤務先情報、そして機微な健康情報が含まれています。
これは、盗まれたデータに診察予約日や診療メモ、さらには患者のがんの発生部位といった機微な医療情報が含まれるとしていたShinyHunters側の主張と、おおむね一致しています。
ShinyHuntersはまた、今回の侵害で社会保障番号(SSN)も盗み出したと主張していますが、HIBPは流出データの分析においてこれらは含めていません。
The Registerは、HIBPの分析結果についてMcKessonにコメントを求めました。
29州で3,300のがん治療提供者を支援する同社は、8月29日にCIOとCTOが発表した最新情報以降、侵害の規模を公式に確認したり、詳細情報を追加で公表したりはしていません。
医療機器メーカーのBoston Scientificも、McKessonとほぼ同時期にサイバー攻撃を公表しましたが、その後の展開は異なるものとなっています。
McKessonが被害を受けた数百万人に通知を行っているのに対し、Boston Scientificは株主に対し、今回の攻撃による混乱の影響で第3四半期の売上・利益見通しを下回る見込みだと説明しています。
水曜日に発表された最新情報によれば、製造、受注処理、出荷業務はすでに全面的に復旧しているものの、一部の業務アプリケーションについては復旧作業が続いているとのことです。
ヘルステック企業のVeradigmも、ランサムウェア集団The Gentlemenが犯行声明を出した数日後の今週、米当局に対してサイバー攻撃を公表しました。
Veradigmによると、攻撃者はサードパーティベンダーの環境から認証情報を取得し、それを使って同社のAPIにアクセスし、業務を中断させることなく患者データを盗み出したとのことです。
The Gentlemenは、社会保障番号(SSN)を含む個人識別情報(PII)を含む約350万件の記録を盗んだと主張しています。®
