ベンダーの鍵漏えいでデンバー・ヘルス・プラン加入者23万8000人のデータが危険に

Denver Health Medical Plan(DHMP)は、データ侵害により23万8000人の個人情報と健康情報が漏えいした可能性があるとして、対象者への通知を進めています。

コロラド州デンバーに本拠を置くDHMPは、Denver Health and Hospital Authorityに属する非営利のマネージドケア組織です。「Denver Health Medicaid Choice」プランを通じて、デンバーと周辺3郡の加入者にHealth First Colorado(メディケイド)の給付を提供しています。

DHMPによると、今回のデータ侵害には、ヘルスケア分析向けのノーコードプラットフォームを手がける外部ベンダーのSquareMLが関わっています。

DHMPのインシデント通知(PDF)によれば、SquareMLは2026年8月14日、アクセスキーが一般公開されているウェブサイトに誤って漏えいしたと、この医療保険プランの運営組織に報告しました。

DHMPは「この認証情報を使って、SquareMLが管理するデータベースにアクセスされた可能性があります。このデータベースには、DHMPの加入者238,083人の情報が含まれていました」と説明しています。

このアクセスキーは2025年6月27日にオンライン上で公開され、2026年8月18日に無効化されました。この期間中は、データベースに保存された個人情報や健康情報へのアクセスに悪用される恐れがありました。

DHMPは「侵害されたアカウントは読み取り専用でした。つまり、このアクセスキーでは情報のダウンロード、エクスポート、削除、変更はできません」と述べています。

漏えいした可能性がある情報は、氏名、生年月日、郵便番号、市、州、人口統計情報、健康指標、健康保険の加入資格データ、入院情報、医療提供者名、退院・転院データです。

DHMPによると、このデータベースには社会保障番号や金融情報は保存されていませんでした。

DHMPの関連組織は「現時点で、加入者の情報が閲覧されたり悪用されたりした証拠はありません。あくまで、その可能性があるという段階です」としています。

この事態を受け、データベースにアクセスできたすべてのアカウントのパスワードをリセットしました。DHMPとSquareMLは、追加の是正措置にも取り組んでいます。