zHealthのデータ侵害、118,000人に影響

医療機関向け業務管理・電子カルテ(EHR)ソフトウェアプロバイダーのzHealthで発生したデータ侵害により、118,000人が影響を受けました。また、Bridgeway Benefit Technologies、Longview ER Operations、HealthStreamからもデータ侵害が公表されています。

zHealth

カリフォルニア州サンフランシスコを拠点とするクラウド型業務管理・電子カルテ(EHR)ソフトウェアプロバイダーのzHealth, Inc.は、権限のない第三者によってデータが取得された可能性があるサイバーセキュリティインシデントを公表しました。カリフォルニア州司法長官に提出された侵害通知によると、zHealthは2026年6月15日前後に特定の情報がコピーされた可能性があることを把握しました。その後の調査により、2026年1月20日から1月21日にかけて権限のない第三者がネットワークにアクセスしていたことが確認されています。影響を受けたデータの精査は2026年9月3日に完了しました。

zHealthのウェブサイトに掲載された代替侵害通知によれば、影響を受けた情報は個人ごとに異なり、氏名、医療情報、健康保険情報が含まれる場合があるとしています。影響を受けた個人には、12か月間の単一機関信用モニタリング、信用調査報告書、信用スコアサービスが提供されています。同社はデータプライバシー・セキュリティに関する方針と手順を見直し、同様のインシデントの再発防止に向けて強化を図りました。なお、本件は現時点で米保健福祉省(HHS)公民権局のウェブサイトには掲載されていませんが、オレゴン州司法長官には118,563人が影響を受けたと報告されています。

Bridgeway Benefit Technologies

マルチエンプロイヤー方式の医療・福利厚生・退職給付プランを管理するソフトウェアを提供する、メリーランド州ボルチモアに本社を置く第三者健康プラン管理会社Bridgeway Benefit Technologiesは、9,268人分の保護対象保健情報(PHI)の侵害についてHHS公民権局に通知しました。同社の説明によると、従業員のメールアカウントに関わるサイバーセキュリティインシデントが発生し、管理サービスの提供に関連して顧客から預かっていたデータが露出したとのことです。不正な活動は2026年5月18日に確認され、フォレンジック調査の結果、当該アカウントには2026年3月5日から2026年5月19日の間にアクセスがあったことが判明しました。

Bridgeway Benefit Technologiesは、今回の侵害が自社のメールシステムに限定されていたことを確認しており、顧客側のシステムが侵害されたことはないとしています。関係するデータの具体的な種類については、個別の通知書で詳しく説明されています。各州司法長官への通知では、流出したデータに社会保障番号が含まれていることが明らかにされています。同社は再発防止に向けたセキュリティ強化策を講じており、影響を受けた個人には無償の信用モニタリングおよびID盗難保護サービスが提供されています。

Longview ER Operations

テキサス州ロングビュー、タイラー、ガルベストンに施設を構えるフルサービスの救急救命室運営会社、Hospitality Health ERの屋号で事業を展開するLongview ER Operations, LLCは、患者データに関わるサイバーセキュリティインシデントに見舞われました。不審なネットワーク活動が確認されたのは2026年7月22日です。同社は直ちにシステムの保護に乗り出し、外部のサイバーセキュリティ専門家の協力を得て、活動の性質と範囲を特定するための調査を開始しました。

調査の結果、権限のない第三者がネットワークにアクセスし、ファイルをコピーしていたことが確認されました。ファイルの精査は現在も進行中で、精査が完了次第、患者には郵送で通知される予定です。通知書には、各患者に関係する情報の種類が記載されます。今回のインシデントはロングビューのネットワークに限定されており、タイラーおよびガルベストンの施設は影響を受けていません。影響を受けた人数はまだ確定していませんが、HHS公民権局への報告では少なくとも501人という推計値が用いられています。この人数は精査完了後に更新される見込みです。

HealthStream

テネシー州ナッシュビルを拠点とし、医療業界向けのソフトウェアおよびトレーニングソリューションを提供するヘルスケア技術企業HealthStream Inc.は、最近発生したセキュリティインシデントについてマサチューセッツ州司法長官に通知しました。通知書には、何らかの「情報」が関わっていたこと、および24か月間の無償の信用モニタリングおよびID盗難保護サービスが提供されることのみが記載されており、侵害の性質に関する詳細は示されていません。通知書には「マサチューセッツ州法上の要件により、本インシデントの性質に関する詳細をお伝えすることができません」と記されています。

この通知書は、2026年7月29日に米証券取引委員会(SEC)に報告されたサイバーセキュリティインシデントに関するものとみられます。Form 8-Kの提出書類によると、今回のインシデントは企業のファイルサーバーへの不正アクセスに関わるもので、保護対象保健情報は含まれていなかったとみられています。侵害を受けたデータには、従業員データ、顧客・取引先の請求データ、法務情報が含まれていました。認証(クレデンシャリング)関連の顧客約75社が影響を受けています。HealthStreamは、顧客対応システムは影響を受けておらず、ファイルの暗号化もなく、業務に支障は生じていないとし、今回のインシデントが同社の財務状況や業績に影響を及ぼす可能性は低いとしています。