ルイジアナ州を拠点とする在宅医療サービス会社LHC Group、ミズーリ州のProvident Behavioral Health、カリフォルニア州のElixir Medical Corporation、そしてCentral Arkansas Pediatricsが、それぞれデータ侵害を報告しています。
LHC Group
米国28州とコロンビア特別区で在宅医療、ホスピス、地域密着型サービスを提供するルイジアナ州ラファイエット拠点のLHC Groupが、サードパーティ技術ベンダーが関与するデータセキュリティインシデントの影響を受けました。名前が公表されていないこのベンダーは、紹介管理、ケアコーディネーション、臨床ワークフローについてLHC Groupを支援しており、これらのサービス提供には患者の個人情報や保護対象保健情報へのアクセスが必要でした。
LHC Groupによると、2026年4月7日、同社の従業員がボイスフィッシング攻撃の被害に遭った可能性があることが判明しました。その後、LHCのベンダーが、LHCのユーザーアカウントに関連する不審な活動をベンダーのプラットフォーム内で検知したと報告しています。LHCはベンダーと緊密に連携してシステムの保護と活動の調査にあたり、サードパーティのサイバーセキュリティ専門家もこのプロセスの支援のために起用されました。調査の結果、脅威アクターはビッシング攻撃で認証情報を窃取し、ベンダーのプラットフォーム上にある大量のファイル(患者の保護対象保健情報を含む)にアクセスしていたことが判明しました。脅威アクターは2026年4月7日から2026年4月15日までアクセス権を保持していました。
影響を受けたデータは精査され、LHCは2026年7月9日から影響を受けた個人の本人確認を開始しました。影響を受けたデータの種類は個人によって異なりますが、氏名、住所、生年月日、人口統計情報、臨床サマリー、治療計画、診断コード、診療日、医師・提供者情報、メディケア/メディケイド番号、健康保険情報、そして一部のケースでは社会保障番号や金融情報が含まれていました。
LHC Groupは、侵害されたアカウントを無効化し、改善余地を特定するためセキュリティ対策を見直し、認証と監視を強化し、その他のセキュリティ管理も強化したとしています。影響を受けた個人には、2年間の無料信用監視および個人情報盗難保護サービスが提供されています。
現時点で影響を受けた個人の総数は不明ですが、各州司法長官に送付された侵害通知によると、28,000人以上が影響を受けています。すべての州司法長官が自州の居住者数を公表しているわけではないため、実際の総数はこれをかなり上回るとみられます。これはLHC Groupが今年発表する2件目のデータ侵害です。LHC Groupは、ベンダーであるDoctor Allianceでの侵害の影響も受けていました。
Provident Behavioral Health
ミズーリ州セントルイスで精神医療サービスを提供する非営利団体Provident Behavioral Healthは、一部の患者に対し、保護対象保健情報が侵害された可能性があることを通知しました。2026年4月3日、同社のコンピューターネットワーク内で不審な活動が確認されました。影響を受けたシステムは隔離され、活動の性質と範囲を調査・特定するためサードパーティのサイバーセキュリティ会社が起用されました。
調査の結果、権限のない第三者がネットワークにアクセスし、影響を受けたシステムに保存されていたデータを取得していたことが確認されました。データの精査は2026年9月4日に完了し、コピーされたファイルの中に患者データが含まれていたことが確認されました。含まれていた情報は、氏名、連絡先情報、人口統計情報、生年月日、社会保障番号、運転免許証番号/州発行ID番号、医療情報、健康保険情報です。
Provident Behavioral Healthは、それ以降不正アクセスは発生していないことを確認しており、同様のインシデントを防止するための追加のセキュリティ対策も実施済みです。データの悪用に対する予防策として、影響を受けた個人には無料の信用監視および個人情報盗難保護サービスが提供されています。本インシデントは各州司法長官およびHHS公民権局(OCR)に報告済みですが、現時点で影響を受けた人数は明らかになっていません。
Central Arkansas Pediatrics
アーカンソー州コンウェイを拠点とし、乳幼児から児童・青少年向けの医療サービスを提供する医療機関Central Arkansas Pediatrics, P.A.は、現在および過去の患者1,500人に対し、個人情報や保護対象保健情報の一部が関わる最近のハッキングインシデントについて通知しました。
このデータ侵害は米国保健福祉省公民権局(OCR)に報告済みですが、現時点で同施設のウェブサイトには代替の侵害通知が掲載されておらず、プレスリリースも公表されていないようです。そのため、影響を受けたデータの正確な種類は不明であり、ハッキングインシデントの正確な性質もまだ確認されていません。これは、医療提供者を多数標的にしてきた悪名高いランサムウェア・アズ・ア・サービス(RaaS)グループ「The Gentlemen」による攻撃とみられます。同グループは2026年6月8日、Central Arkansas Pediatricsをダークウェブのデータ漏洩サイトに掲載し、攻撃でデータを窃取したと主張しています。
Elixir Medical Corporation
心臓・血管疾患治療用製品を専門とする医療機器メーカーで、カリフォルニア州ミルピタスを拠点とするElixir Medical Corporationは、現在および過去の従業員、コンサルタント、一部の受益者・扶養家族のデータが流出した最近のセキュリティインシデントについて、カリフォルニア州司法長官に通知しました。
通知によると、権限のない第三者が2026年7月20日から2026年7月21日にかけて、同社のコンピューターネットワークの一部にアクセスしました。調査の結果、このインシデントで人事関連ファイルが流出したことが確認されており、そこには氏名や社会保障番号のほか、運転免許証番号、クレジットカード/デビットカード番号、医療情報、給与振込先の銀行口座情報の一部またはすべてが含まれていました。
影響を受けた個人には通知が行われ、無料の信用監視および個人情報盗難保護サービスが提供されています。追加の保護対策が実施されたほか、従業員向けのセキュリティ意識向上トレーニングも強化されました。影響を受けた人数は現時点で公表されていません。
翻訳元: https://www.hipaajournal.com/lhc-group-data-breach/
