HCA HealthcareとBlossom Healthがデータ侵害を公表

HCA Healthcare、Blossom Health、El Camino Health、ミシシッピ大学医療センター（University of Mississippi Medical Center）の4組織が、データ侵害を公表しました。

HCA Healthcare Inc.

テネシー州ナッシュビルに本社を置くHCA Healthcare Inc.は、米国19州で189の病院と約2,600の外来医療施設を運営しています。同社は、2026年8月12日に最初に確認されたサイバーセキュリティインシデントを公表しました。このインシデントで、患者と従業員のデータが侵害されました。

同社は一部のITシステム内で不審な活動を検知しました。フォレンジック調査により、2026年8月12日にこれらのシステムへの不正アクセスがあったことが確認されました。HCA Healthcareによると、攻撃者は研修医の個人情報を含む一部の人事ファイルのコピーを入手しました。影響を受けたファイルを確認した結果、氏名、生年月日、メールアドレス、電話番号、社会保障番号、出入国関連情報など、雇用に関する情報が含まれていたことが判明しました。

一部の関連施設や診療所に関する患者データも侵害されました。流出した患者データには、氏名、メールアドレス、電話番号、生年月日、社会保障番号、医療情報、健康保険情報が含まれます。 影響を受けた患者の人数はまだ公表されていませんが、テキサス州の住民15,096人が影響を受けたことは判明しています。被害を受けた人々には、2年間の無料のクレジットモニタリングサービスが提供されています。

Blossom Health

オンライン精神科診療とバーチャルメンタルヘルスサービスを提供するBlossom BH Opco Inc.（Blossom Healthの名称で事業を展開）は、2026年8月に発生したデータセキュリティインシデントについて、一部の患者への通知を開始しました。このインシデントでは、電子健康記録（EHR）ソフトウェアに不正アクセスがありました。2026年10月29日付の通知書によると、不正な第三者は、従業員ではない契約業者に対するフィッシング攻撃を通じて、EHRソフトウェアと患者データにアクセスしました。

同社が調査を行った結果、流出した情報には氏名、連絡先、健康保険情報が含まれることが確認されました。Blossom Healthは、金融情報と社会保障番号にはアクセスされなかったとしています。同社はウェブサイト上の規制当局向け開示で、攻撃者が限られた数の患者の医療記録と、患者情報を含むユーザー一覧のスプレッドシートをダウンロードしたことを認めました。

不正アクセスは遮断され、ユーザーのパスワードは変更されました。今後の同様のインシデントのリスクを減らすため、追加の技術的なセキュリティ対策も導入しています。 なりすましや詐欺への予防措置として、被害を受けた人々には、単一信用調査機関によるクレジットレポート、クレジットスコア、クレジットモニタリングサービスが無料で提供されています。テキサス州司法長官には、同州の住民2,103人が影響を受けたと報告されましたが、被害者の総数はまだ公表されていません。

El Camino Health

カリフォルニア州のサンタクララ郡とベイエリアで医療サービスを提供する非営利の医療システムEl Camino Healthは、第三者がMicrosoft 365環境に不正アクセスしたことを確認しました。2026年9月1日に不審な活動を検知し、フォレンジック調査を実施しました。その結果、4つのMicrosoft 365アカウントが、2026年8月26日から2026年9月2日にかけて断続的に不正アクセスを受けていたことが判明しました。これらのアカウント内の一部の文書は、コピーまたはダウンロードされました。

影響を受けたファイルの確認は完了しました。ファイルには、連絡先、人口統計情報、社会保障番号、運転免許証番号、生年月日、診療記録番号、患者口座番号、診断、治療情報、処方情報、医療提供者名、サービス提供日、健康保険情報が含まれていました。一部の患者については、金融口座番号とルーティング番号も侵害されました。

El Camino Healthは、今後の同様のインシデントのリスクを減らすため、保護と監視の対策を追加で導入しました。被害を受けた人々には、クレジットモニタリングとIDの盗難防止サービスが無料で提供されています。影響を受けた人数は、まだ公表されていません。

University of Mississippi Medical Center

ミシシッピ大学医療センター（UMMC）は、同センターのコンピューターシステムへの不正アクセスについて、一部の患者への通知を開始しました。不正アクセスは2026年2月19日に確認されました。同センターは外部のサイバーセキュリティ専門家に調査への協力を依頼し、2026年10月20日に、2026年2月11日から2026年2月19日の間にネットワークが不正アクセスを受けていたことを確認しました。

UMMCは流出したファイルを調査しましたが、カリフォルニア州司法長官に提出した通知には、関係するデータの種類や影響を受けた人数の詳細が記載されていません。UMMCのウェブサイトには、現時点で代替のデータ侵害通知も掲載されていません。この事案はランサムウェア攻撃とみられます。2026年3月には、ランサムウェアグループのMedusaが犯行声明を出し、盗んだデータの売却や公開を防ぐ代わりに支払いを要求しました。身代金は支払われませんでした。