ニューヨーク州司法長官は、基本的なセキュリティ対策の不備によって1330万人に影響が及んだ医療データ侵害をめぐり、和解に達しました。
Perry Johnson & Associates（PJ&A）と関連4社は、1330万人以上の個人情報および医療情報が流出した侵害を受け、30万ドルを支払い、広範なセキュリティ改革を実施することで合意しました。和解条件を満たせなかった場合は、さらに970万ドルの制裁金を科される可能性があります。
ニューヨーク州のレティシア・ジェームズ司法長官は11月6日、コネチカット州、ミシガン州、ニュージャージー州の司法長官とともに、この合意を発表しました。影響を受けた人のうち、約420万人はニューヨーク州の住民です。
調査では、一連の不備が明らかになっています。多要素認証のないリモートアクセス、ほぼ同一のパスワードをメールで共有していたこと、機密ファイルにファイル単位の暗号化を施していなかったこと、そして不審な活動を検知しながらセキュリティ担当者に警告を出さなかったセキュリティソフトです。
その結果、各社が攻撃に気づいたのは、2023年5月2日に攻撃者から連絡を受け、金銭を要求されたときでした。
何人が影響を受けたのか
盗まれたデータベースファイルには、約420万人のニューヨーク州民を含む、1330万人以上に関する記録が含まれていました。
以前の報道では、影響を受けた患者は約895万人とされていました。今回の和解文書では、より多い1330万人以上という数字が示されています。実際の被害者数はさらに増える可能性があります。司法長官の調査によると、攻撃者は個人情報や健康情報を含む共有ネットワークストレージのファイルにもアクセスしていました。しかし、各社はそれらのファイルを調べておらず、追加の被害者を特定していないためです。
流出した情報は次のとおりです。
- 氏名、生年月日、自宅住所
- 社会保障番号
- 診療記録番号、病院の口座番号
- 保険情報
- 入院時の診断名、治療日
- 検査結果、投薬、治療施設、医療提供者など、医療文書の書き起こしに含まれる臨床情報
通知の遅れも問題になりました。PJ&Aが盗まれたデータベースファイルについて顧客への連絡を始めたのは2023年7月です。顧客が被害者に通知したのは、2023年10月31日から2024年2月8日にかけてでした。ニューヨーク州司法長官は、各社が侵害をできる限り速やかに、不当な遅延なく開示するという州の要件に違反したと認定しています。
和解の内容
発表では最大1000万ドル規模の和解とされていますが、各社が州に支払う制裁金は30万ドルです。残りの970万ドルは執行猶予の扱いで、今後支払い義務が生じる可能性があります。ニューヨーク州には、最初の支払いのうち10万ドルが渡ります。これらは州への支払いであり、患者に対する補償金の支払いが発表されたわけではありません。
流出した情報は、犯罪者にとって価値が高い可能性があります。Malwarebytesの調査では、盗まれた個人情報一式がダークウェブで1件わずか95セントで売られていることがわかっています。
和解では、現在も事業を行う関係企業に対し、次のような広範なセキュリティ変更も義務づけています。
- 管理者アカウントを含む個々のユーザーアカウントとリモートネットワークアクセスへのMFA導入
- パスワード管理の強化と、業務上必要な範囲に限ったアクセス制限
- 個人情報および保護対象の医療情報の暗号化
- 不審な活動をセキュリティ担当者に自動で警告する監視体制
- 年次のリスク評価とペネトレーションテスト
- ネットワークのセグメンテーション、および不正なデータ転送を検知・防止する対策
- インシデント対応手順の文書化と、機密情報の保持および安全な廃棄に関する明確なルールの整備
これほどの不注意があり、流出した記録と被害者がこれだけ多いことを考えると、各社は軽い処分で済んだと思いますか。ぜひコメントでご意見をお寄せください。
身を守るために
侵害があったからといって、情報がすぐに悪用されるわけではありません。ただし、詳細が明らかになるまでの間、次の対策を取っておくと安心です。
- 不審なメッセージは別の経路で確認する。侵害に関するメッセージに急かされて、リンクをクリックしたり、機密情報を伝えたり、支払いをしたりしてはいけません。医療提供者や保険会社の公式サイトに自分でアクセスするか、すでに信頼している連絡先を使ってください。
- 医療費の請求書と保険の明細を確認する。受けていない診察、検査、処方、サービスがないか調べましょう。連邦取引委員会（FTC）は、身に覚えのない医療費の請求や、保険会社が請求をどう処理したかを示す給付説明書（Explanation of Benefits）に予期しない項目があることを、医療ID窃盗の兆候として挙げています。食い違いがあれば、医療提供者と保険会社に報告してください。
- 信用情報報告書を確認する。身に覚えのない口座や債務がないか調べ、誤りがあれば異議を申し立てます。無料の報告書はAnnualCreditReport.comから入手できます。
- ID窃盗の兆候があれば行動する。IdentityTheft.govで回復計画を確認してください。自分の名義で医療を受けた人がいる場合は、関係する医療提供者に診療記録の写しを請求し、訂正を書面で求めましょう。
医療ID窃盗は、金銭面の問題にとどまりません。診療にも影響しかねません。誰かがあなたの身元を使って治療を受けたり保険金を請求したりすると、誤った情報があなたの健康記録に紛れ込む可能性があるからです。医療関連の明細を確認し、身に覚えのない点を報告すれば、そうした悪用に気づきやすくなります。
シークレットウィンドウでできることには限りがあります。
情報漏えい、ダークウェブでの取引、クレジット詐欺。Malwarebytes Identity Theft Protection はそのすべてを監視し、すばやく通知します。ID窃盗保険も付いています。
