医療サービス企業、2023年の機密患者データ流出で4州と和解

州司法長官らは金曜日、ヘルスケアサービス企業が30万ドルを支払い、セキュリティ対策を全面的に見直すことで合意したと発表しました。2023年3月に発生した情報漏えいでは、全米で1300万人以上のデータが流出しています。

この件を追及したのは、コネチカット州、ニュージャージー州、ニューヨーク州、ミシガン州の司法長官です。対象となったのは、ネバダ州に本社を置くPerry Johnson Companiesの医療文書の書き起こし、コーディング、画像処理を手がける子会社です。

ニューヨーク州司法長官レティシア・ジェームズ氏の事務所が出したプレスリリースによると、同社が必要なサイバーセキュリティ改革を実施しなかった場合、4州に対してさらに970万ドルを支払う必要があります。

ジェームズ氏の事務所が調査したところ、ハッカーは従業員の認証情報を使ってPerry Johnsonのシステムに侵入していました。同事務所によると、同社はユーザー確認に多要素認証を使っていませんでした。

プレスリリースによると、侵入後の数カ月間、攻撃者はパスワードを大量に収集し、患者の保護対象医療情報が保存された暗号化されていないファイルを入手しました。同社のソフトウェアはハッカーの動きを検知して記録していたものの、設定が不適切だったとされ、その活動は情報セキュリティチームに通知されませんでした。

データの窃取は2カ月間、妨げられることなく続きました。同社が漏えいに気づいたのは、ハッカー側から知らされたときだったと指摘されています。

盗まれた記録には、氏名、生年月日、自宅住所、社会保障番号、病院の口座番号、診断名、保険情報、医療文書の書き起こしファイルに含まれる臨床情報が含まれていたとされています。プレスリリースによると、ファイルには患者の薬剤名のほか、診断結果や臨床検査の結果も含まれていました。

同社はコメントの求めに応じていません。

和解の条件として、Perry Johnsonには次の対応が義務付けられます。包括的な情報セキュリティプログラムとインシデント対応基準の策定、多要素認証・暗号化・パスワード管理システムの導入、年次のリスク評価プログラムの実施、そして受け取る医療データの収集・利用・保管・廃棄を適切に管理する仕組みの構築です。