デンバー・ヘルス・メディカル・プラン、委託先の情報漏えいで会員23万8000人に影響を通知

Denver Health Medical Planは、委託先ベンダーが関与するデータインシデントについて、23万8000人以上に通知しました。このほか、Johns Hopkins Bayview Medical CenterとBASS Medical Groupもデータ侵害を公表しています。

Denver Health Medical Plan

コロラド州デンバーに拠点を置く非営利の医療保険プランDenver Health Medical Plan(Denver Health and Hospital Authority関連組織)は、現会員および元会員238,083人の保護対象医療情報(PHI)が関わるデータ侵害を最近公表しました。 このインシデントには、人工知能(AI)・機械学習の分析プラットフォームを提供するSquareMLが関係しています。2026年8月14日、Denver Health Medical Planは、同ベンダーが使用していたアクセスキーが公開ウェブサイト上で見つかったとの連絡を受けました。このアクセスキーを使えば、ベンダーが管理し、会員の情報を含むデータベースにアクセスできた可能性があります。

キーは2025年6月27日にベンダーが誤って公開ウェブサイトに掲載し、1年以上そのまま残っていました。アクセスキーは2026年8月18日に無効化されています。漏えいしたデータには、氏名、市・州・郵便番号、人口統計情報、生年月日、健康保険プランの加入資格情報、医療機関名、入院・退院・転院に関する情報、さらにBMI、HbA1c、eGFRといった健康指標が含まれます。財務情報と社会保障番号は漏えいしていません。

Denver Health Medical Planによると、キーが悪用された形跡は確認されていません。仮にキーが発見されて使われたとしても、データのダウンロード、エクスポート、削除、改ざんはできず、読み取り専用のアクセスしか与えられていなかったということです。 侵害の原因はSquareMLにありますが、影響を受けた人々への通知書はDenver Health Medical Planが郵送しています。

Johns Hopkins Bayview Medical Center

メリーランド州ボルチモアのJohns Hopkins Bayview Medical Centerは、AI関連のインシデントにより、患者3,182人の保護対象医療情報が漏えいした可能性があると発表しました。職員の1人が、限定的な患者データを含むスプレッドシートを、職員の利用が承認されていない公開AIツールにアップロードしたものです。同医療センターは2026年9月21日にこの誤りを把握しました。スプレッドシートには、2026年5月から2026年9月に入院・治療を受けた患者の情報が含まれていました。内容は、氏名、入院・治療日、診療科情報、アカウント番号、診療記録番号、投薬内容、担当医療従事者名などです。

インシデントの発覚後、当該職員はAIのプロンプトとスレッドを削除し、ツールの履歴からスプレッドシートも取り除きました。医療センターはツールの提供元にも連絡し、システムからのデータ削除を要請しています。データ悪用への予防措置として、影響を受けた人々には12か月間の信用監視サービスが無償で提供されます。また、再発防止策として、職員が使用できるAIプラットフォームに関する追加研修の実施などに取り組んでいます。

BASS Medical Group

カリフォルニア州ウォルナットクリークに拠点を置く、医師が所有する複数診療科のクリニックBASS Medical Groupは、2026年9月4日に最初に把握したデータセキュリティインシデントについて、カリフォルニア州司法長官に通知しました。 同グループは不審なネットワーク活動の原因を調べるため調査を開始しました。2026年9月22日、調査によりネットワークへの不正アクセスがあったことが判明しました。個人情報や保護対象医療情報が漏えいし、権限のない第三者に閲覧または取得された可能性があります。

侵害された可能性がある情報は、医療処置コード、請求情報、健康保険情報に限られます。BASS Medical Groupは、再発防止に向けて追加の安全対策を導入しました。影響を受けた人々への通知書の郵送は、2026年10月22日に始まっています。影響を受けた人数は、まだ公表されていません。