ニューヨークのCognitive Health Technologies、テキサス州のCity Ambulance Service、ミシガン州のBaraga County Memorial Hospital、ジョージア州のThe Speech Clinic、テキサス州のInnovative Alternativesが、それぞれデータ漏えいを公表しました。
Cognitive Health Technologies（ニューヨーク州）
ニューヨークを拠点とする医療テクノロジー・ITコンサルティング企業Cognitive Health Technologies LLCは、4万9,467人の保護対象医療情報（PHI）に関わるデータセキュリティインシデントを公表しました。同社が公表した代替通知（substitute notice）によると、2026年4月27日に不審なネットワーク活動を検知しました。同社はフォレンジック調査を開始して活動の性質と範囲を調べ、2026年2月5日から2026年4月28日までの間に、権限のない第三者がネットワークにアクセスしていたことを確認しました。この間に、保護対象医療情報を含むファイルやフォルダに不正アクセスがあり、取得されました。
データを精査した結果、漏えいした情報には、氏名、生年月日、健康保険情報、病歴、治療情報が含まれていました。患者データは侵害されたものの、その情報が悪用された形跡は確認されていません。Cognitive Health Technologiesは、セキュリティポリシーを見直し、同様のインシデントを防ぐための追加対策を講じたとしています。
Viking Enterprises（City Ambulance Service）（テキサス州）
テキサス州スプリングでCity Ambulance Serviceの名称で事業を営むViking Enterprisesは、1万4,324人に影響するハッキングインシデントを米保健福祉省（HHS）公民権局（OCR）に届け出ました。この漏えいは2026年8月31日に、メール関連のインシデントとしてOCRに報告されています。インシデントに関する情報はほとんど公開されていません。ただし、テキサス州司法長官に提出された報告書によると、漏えいしたデータには氏名、住所、生年月日、医療情報、健康保険情報、社会保障番号が含まれます。
ランサムウェアおよびデータ窃取・恐喝グループのQilinが犯行声明を出し、機密データを盗んだと主張しています。攻撃でランサムウェアが使われたかどうかは不明です。ダークウェブ上のリークサイトに2026年7月19日付で掲載された記載では、14GBのデータを持ち出し、盗んだデータを公開したとしています。HIPAA Journalはこれらのデータをダウンロードしていないため、主張の真偽は確認できません。ただし、侵害の証拠としてアップロードされたスクリーンショットには、患者データの一部が含まれています。
Baraga County Memorial Hospital（ミシガン州）
ミシガン州ランスにあるBaraga County Memorial Hospitalは、患者の保護対象医療情報を保存するシステムへの不正アクセスを伴うデータ漏えいを、HHS公民権局に報告しました。記事の公開時点では、影響を受けた人数は確定していません。この漏えいは、暫定値として「501人以上」の影響があるとして届け出られています。
病院は、インシデントの詳細や関係する情報をまだ公表していません。OCRへの報告で、ハッキング／ITインシデントであると示されているのみです。2026年7月4日には、サイバー犯罪グループが犯行を主張しました。ランサムウェアグループのWallstreetは、Baraga County Memorial Hospitalをダークウェブ上のリークサイトに掲載し、攻撃でデータを持ち出したと主張しています。身代金が支払われなかったため、同グループは盗んだデータを公開しました。
Innovative Alternatives（テキサス州）
テキサス州ヒューストンを拠点とする非営利のメンタルヘルス・カウンセリングサービス事業者Innovative Alternatives, Inc.は、現在および過去のクライアント、従業員、寄付者の約1,500人の個人情報と保護対象医療情報に関わるデータセキュリティインシデントを公表しました。2026年8月2日、同社はサイバー犯罪者がネットワークにアクセスし、ランサムウェアでファイルを暗号化したことを把握しました。外部のサイバーセキュリティおよびデジタルフォレンジックの専門家に調査を依頼し、データにアクセスされ、取得された可能性があることを確認しました。電子カルテシステムは影響を受けていません。
データを精査した結果、漏えいした情報には、氏名、連絡先情報、臨床カウンセリングの記録が含まれていました。従業員については、連絡先情報と雇用情報も含まれます。Innovative Alternativesは、すべてのシステムおよびユーザーのパスワードを変更し、追加のセキュリティスキャンを実施しました。さらに外部のサイバーセキュリティ専門家と連携してセキュリティ対策を強化し、同様のインシデントのリスク低減を図っています。通知書は2026年10月2日に、影響を受けた人々へ郵送されました。
The Speech Clinic（ジョージア州）
ジョージア州ウェイクロスを拠点に、言語聴覚療法、作業療法、理学療法を提供するThe Speech Clinicで、データセキュリティインシデントが発生しました。2026年8月10日、同院はウェイクロスの施設にあるコンピューターへのアクセスに支障が出始めました。フォレンジック調査により、2026年8月17日に、このコンピューターと、2017年以前の患者2,168人分の記録を保存していた旧サーバーに、権限のない第三者がリモートからアクセスしていたことが確認されました。
フォレンジック調査では、患者データにアクセスされたかどうかを確認できませんでしたが、不正アクセスの可能性は排除できません。一部の患者については氏名のみが漏えいしました。それ以外の患者では、氏名、生年月日、社会保障番号、診断名、その他の医療情報が組み合わさって漏えいしています。
翻訳元: https://www.hipaajournal.com/cognitive-health-technologies-data-breach/
