Quest Diagnostics情報漏えい:患者が知っておくべきこと

Quest Diagnosticsの検査オーダーシステムで情報漏えいが発生しました。患者と医療機関は、どの記録が流出したのかが明らかになるのを待っている状況です。

同社は10月22日、前日に「Quanum Lab Services Manager」システムへの不正アクセスを確認したと公表しました。Questは一部の患者記録にアクセスされたとみていますが、影響を受けた人数や、対象となった具体的な記録はまだわかっていません。

Quanum LSMを利用する医療機関にとっては、どの患者のどんな種類の情報が影響を受けたのかがわかるまでの間、検査オーダーと結果のやり取りを滞らせないことが当面の課題です。

Questが確認している内容

Questは SEC提出書類で、サイバーセキュリティインシデント対応手順を発動し、連邦法執行機関に通報したうえで、外部のサイバーセキュリティ専門家に支援を依頼したと説明しました。また、この事案によって事業運営や患者へのサービス提供能力が大きく損なわれることはなかったとしています。

ただし、この開示内容からは、社会保障番号や金融情報、特定の検査結果が流出したかどうかはわかりません。 APの報道によると、不正アクセスの全容は現在も調査中です。

この違いは重要です。流出した情報の内容によって、患者が負うリスクや取るべき防御策が変わるためです。 TriZettoの情報漏えいとそれに続く訴訟をはじめ、過去の医療分野のインシデントでも、漏えい通知の迅速さや分かりやすさをめぐる懸念が浮き彫りになっています。

患者情報が長期的なリスクを生む理由

Corsica TechnologiesのCISO、Ross Filipek氏は、起こり得る影響は調査で何が判明するかによって変わると述べています。

「QuestのQuanumプラットフォームは、患者情報と日常的な検査業務が交わる機微な位置にあります。アクセスされた内容次第では、その記録が犯罪者にとって、なりすまし詐欺や、本人の診療を装った巧妙なメッセージの材料になり得ます。実際の検査に言及する詐欺は、一般的なフィッシングメールよりはるかに信憑性が高く感じられます。しかも患者は、情報が流出した後に自分の病歴を取り替えることはできません」とFilipek氏は述べました。

ただし、これらはあくまで潜在的なリスクであり、今回のインシデントで確認された結果ではありません。これまでの開示内容からは、犯罪者が影響を受けた記録を詐欺や標的型の詐欺に悪用したかどうかは確認できていません。

患者は、検査結果やアカウント復旧、漏えい対応の支援を名目とする不審なメッセージを受け取った場合、個人情報を入力する前に、あらかじめ把握している正規の窓口を通じて内容を確認してください。最近の Microsoft 365のカレンダーを悪用したフィッシングキャンペーンが示すように、一見見慣れた通知が認証情報の窃取に使われることもあります。

医療機関が引き続き利用できる手段

Questは不正な活動を発見した後、Quanum LSMへのアクセスを一時停止しました。同社は インシデントに関する告知の中で、中核となる事業運営は継続していると説明しています。

直接接続型の検査情報システム(LIS)のインターフェースや電子カルテ(EMR)を利用している医療機関は、これまでどおりそれらの接続を通じてオーダーを出せます。Questは、これらの接続は影響を受けていないとしています。

Questは、早ければ10月23日にも全サービスの機能を復旧できる見通しだとしていましたが、この見通しだけでは、サービスが再開されたことは確認できません。影響を受けたQuanum LSMの顧客は、紙の依頼書かQuanum eLabsを使ってオーダーの送信と結果の受け取りができます。Questは、結果を入手する手段として電話とeFaxも案内しています。

一時停止の影響を受けた医療機関は、利用可能な業務手順をQuestに直接確認し、未処理のオーダーと結果を追跡する必要があります。 インシデント対応計画では、技術的な調査に加えて、業務継続、情報伝達、患者からの問い合わせ対応についても担当者を決めておくべきです。

アクセスを見直しながら診療を止めない

医療機関のセキュリティチームにとって、サービスの復旧と患者データ流出の調査は、それぞれ別に進める必要があります。オーダー用の接続が正常に動いていても、侵入者がどの記録にアクセスしたかは判明せず、患者への連絡が不要になるわけでもありません。

「医療機関にとっての実践的な教訓は、各アカウントがどこまで患者情報に到達できるのかを点検することです」とFilipek氏は述べています。「正規の業務フローが記録への侵入経路になる前に、不審なアクセスを検知できる監視体制が必要です」

Quanum LSMを利用する組織は、影響を受ける業務フローを洗い出し、暫定的な対応策を記録するとともに、Questからの更新情報を確認する担当者を決めておくべきです。セキュリティ部門とプライバシー部門は、調査結果が出次第、影響を受けたアカウントの詳細、アクセスの日時、データの種類を求めるとよいでしょう。これらの情報は、アクセス権限の見直しの指針となり、追加調査や保護措置が必要かどうかの判断材料にもなります。

患者は、すべてのQuest利用者が影響を受けたと決めつけず、確認された最新情報を追ってください。次に注目すべきは、誰の情報がアクセスされ、その中身が何だったのかが、より明確に示されることです。それまでの間、医療機関は業務の継続を保ちつつ、具体的な調査結果に基づいて動けるよう準備を進めてください。患者は受け取った連絡の真偽を確認し、未完了の検査についても問い合わせを続けてください。

関連記事: DentaQuestの情報漏えいでは1500万人が影響を受け、健康情報と本人確認情報が同時に流出することの重大性を示しています。