米国最大級の独立系・医師所有のプライマリケア医療グループであるセントラル・オハイオ・プライマリケア・フィジシャンズ（Central Ohio Primary Care Physicians）で、サイバーセキュリティインシデントが発生しました。地元メディアの報道によると、現在および過去の患者約140万人の個人情報と保護対象医療情報が関係しているとのことです。
オハイオ州ウェスターヴィルに本社を置く同医療グループは、中央オハイオに80カ所以上の拠点を構えています。2026年8月にボイスフィッシング（ビッシング）攻撃を受け、第三者に認証情報を不正に取得されました。この認証情報により、内部システムへのアクセスを許したとされています。不正アクセスは2026年8月25日に検知され、遮断されました。
調査の結果、患者情報を含むファイルが外部に持ち出されたことが確認されました。ファイルの精査が完了し、患者の氏名、住所、社会保障番号、金融情報、健康情報、その他の個人を特定できる情報が含まれていたことが判明しています。
通知書は影響を受けた人々に郵送されており、クレジットモニタリング、ID盗難防止、ダークウェブ監視のサービスが無料で提供されます。同医療グループによると、通知書を発送した時点では、今回のインシデントによる患者情報の悪用は確認されていません。同グループは、データのプライバシーとセキュリティを重視しており、インシデント発生前から適切なセキュリティ対策を講じていたと説明しています。その後はセキュリティを強化し、同様のインシデントが再発するリスクの低減を図っています。
侵害通知には攻撃を仕掛けた脅威グループの名前は記載されていませんでしたが、「Chaos」と呼ばれるランサムウェアグループの犯行とみられます。同グループは、ダークウェブ上のデータ漏えいサイトにセントラル・オハイオ・プライマリケア・フィジシャンズを掲載し、身代金が支払われなければ盗んだデータを公開すると脅していました。掲載時点では同医療グループとの接触はなかったと主張していましたが、現在、同サイトには同医療グループの名前は掲載されていません。
翻訳元: https://www.hipaajournal.com/central-ohio-primary-care-physicians-data-breach/
