ボストン小児保健医師会とXTIUM、HIPAA違反疑惑で270万ドルの和解

ボストン小児保健医師会（BCHP）とマネージドITサービスプロバイダーのXTIUMは、2024年に発生し約89万人に影響したデータ侵害をめぐるニューヨーク州およびコネチカット州司法長官の調査について、和解することで合意しました。和解には400万ドルの制裁金が含まれます。このうち270万ドルが両州に支払われ、130万ドルは支払いが猶予されます。ニューヨーク州は210万ドル、コネチカット州は54万ドルを受け取ります。和解合意では、サイバーセキュリティを強化するための一連の対策の実施が義務付けられています。猶予された130万ドル（ニューヨーク州104万ドル、コネチカット州26万ドル）は、和解合意の要件を遵守しなかった場合に支払う必要があります。

両州の司法長官は、2024年8月にXTIUMで発生したサイバーセキュリティインシデントを受けて調査を開始しました。XTIUMはニューヨークに拠点を置くIT管理会社で、BCHPなどにネットワークセキュリティサービスを提供しています。BCHPもニューヨークに拠点を置く医療機関で、ニューヨーク州内の60か所とコネチカット州内の5か所で、小児患者向けの医療サービスを提供しています。

インシデント当時、BCHPはIT業務に2社のマネージドサービスプロバイダーを利用していました。うち1社は現行の患者記録システムの管理とセキュリティを担っており、こちらは被害を受けていません。もう1社のAxispoint Technology Solutions Group, Inc.（現XTIUM）は、セキュリティ機能を除く他のITシステムの管理を担当していました。今回のインシデントは、XTIUMが管理するITシステムで発生したものです。

2024年8月、XTIUMは脅威アクターが自社のシステムと、BCHPを含む顧客18社のシステムに侵入していたことを発見しました。XTIUMがBCHPにインシデントを通知したのは2024年9月6日です。BCHPは9月7日にユーザーパスワードをリセットしましたが、システムや管理者のパスワードはリセットせず、BCHPのシステムをインターネットから切り離すこともしませんでした。BCHPは2024年9月10日に自社ネットワーク内の不正なアクティビティーを特定し、システムをインターネットから隔離しました。インシデントは復旧し、システムは2024年9月13日にオンラインへ復帰しています。

フォレンジック調査により、脅威アクターはXTIUMが使用していたリモートアクセスツールを悪用し、暗号化されていないデータベースを外部へ持ち出したことが判明しました。このデータベースには患者の請求記録が含まれており、患者や保証人の氏名のほか、連絡先、生年月日、社会保障番号、運転免許証番号、健康保険情報、治療情報、請求情報が記録されていました。対象となったデータは、ニューヨーク州の住民約82万5000人とコネチカット州の住民6万2871人に関するものです。このうちニューヨーク州の住民約17万人については、社会保障番号や運転免許証番号（またはその両方）も含まれていました。XTIUMの従業員約1000人の記録も、このインシデントで侵害されています。

ニューヨーク州司法長官が主導した調査では、XTIUMが自社ネットワーク上の個人情報を保護するための合理的な保護措置を講じていなかったと認定されました。XTIUMはリモートアクセスツールの推奨セキュリティ設定をすべて実施しておらず、このツールのログ記録や監視も行われていませんでした。

BCHPは一般的な標準セキュリティポリシーを徹底しておらず、XTIUMもセキュリティポリシーを要求していませんでした。その結果、無制限のアクセス権と無制限の権限を持つ管理者アカウントを1つだけ共有して使用していました。ログ記録と監視は非常にお粗末で、攻撃者がどのように侵入したのかを正確に特定できず、攻撃の有意義な分析もできませんでした。攻撃者はBCHPのシステムに侵入した後、制限のない管理者アカウントをさらに4つ侵害し、BCHPのシステム全体にアクセスしました。

セキュリティ上の不備として、適切なアカウント権限と制限の欠如、不十分なネットワーク分離、最小権限の原則の不徹底、さらにアクセス制御、アカウント監視、特権アカウント管理、ガバナンス、ベンダー評価の不足が挙げられています。加えて、BCHPは2023年に第三者による情報セキュリティ監査を受け、さまざまなセキュリティ上の問題を指摘されていました。しかし、その不備を解消する対応は取られませんでした。インシデントの発生前の2年間、BCHPの経営陣は、100万件を超える請求記録を含むアーカイブが暗号化されていないことを把握していました。この暗号化されていないデータが、攻撃で持ち出されたのです。

ニューヨーク州司法長官は、HIPAAセキュリティ規則およびニューヨーク州行政法への違反があったと認定しました。制裁金に加えて、両社は情報セキュリティプログラムの改善を求められています。対策には、個人情報の正確かつ最新の一覧を維持して情報を確実に保護すること、個人情報へのアクセスに合理的な認証手順を導入・維持すること、ログ記録・監視システムを導入すること、脅威への対応手順を強化することが含まれます。

ニューヨーク州のレティシア・ジェームズ司法長官は次のように述べています。「機密性の高い個人の健康データを預かる機関には、それを悪意ある者から守る重大な責任があります。BCHPは自社のデータセキュリティ機能が不十分だと知りながら修正せず、数十万人のニューヨーク市民の情報をハッカーにさらしました。私たちは調査の結果を受けて、BCHPの責任を追及するとともに、ニューヨーク市民の個人情報を保護する新たな対策を確実に実施させます」