バージニア州のヘルスケアテクノロジー企業 Dorsata、フロリダ州のメンタルヘルス機関 Bay Area Psychological Consultants、ミシガン州の救急診療施設 Lansing Urgent Care が、相次いでデータ侵害を公表しました。
バージニア州の Dorsata
バージニア州アーリントンに本社を置くヘルスケアテクノロジー企業 Dorsata, Inc. は、電子カルテソフトウェアや、女性の健康を扱う医療提供者向けのデータソリューションなどを手がけています。同社はこのほど、58,249人の保護対象医療情報（PHI）が関わるデータ侵害を、米保健福祉省（HHS）の公民権局に報告しました。
多くの医療機関と同様に、Dorsata も Metabase のビジネスインテリジェンスソフトウェアを利用しています。2026年8月12日ごろ、同社は Metabase に未知の脆弱性（ゼロデイ）が存在すると知らされました。脆弱性を修正するパッチを適用するとともに、パッチ適用前に悪用されていなかったかを調べるため、サイバーセキュリティの専門家に調査を依頼しました。
調査の結果、2026年8月10日から2026年8月12日にかけて、権限のない第三者がこの脆弱性を悪用し、提携する医療提供者の患者に関する医療情報を保管したデータベースプラットフォームにアクセスしたことが確認されました。データを精査したところ、患者の診療記録に含まれる氏名、住所、患者ID、生年月日、バイタルデータ、治療情報、治療を受けた場所、医療提供者名、予防接種情報、投薬情報、健康保険情報、病歴が影響を受けたと判明しました。
データは流出しましたが、情報が悪用された形跡は見つかっていません。最初にこの脆弱性を悪用したグループは特定されていません。ただし VenariX によると、Dire Wolf グループが、その後に起きた少なくとも2件の攻撃でこの脆弱性を悪用したとみられます。
フロリダ州の Bay Area Psychological Consultants
フロリダ州ナイスビルのメンタルヘルスクリニック Bay Area Psychological Consultants は、最近のサイバーセキュリティインシデントで保護対象医療情報の一部が流出したとして、5,679人の患者への通知を開始しました。このインシデントには、外部のテクノロジーサービスプロバイダーである CareCloud が関わっています。Bay Area Psychological Consultants の説明によると、CareCloud では2026年3月16日にネットワーク障害が発生し、同社の電子健康記録（EHR）環境の一つが影響を受けました。
CareCloud の調査では、2026年3月10日から2026年3月16日にかけて、権限のない第三者が同社の AWS 環境の一つにアクセスし、データを窃取したと主張していることが判明しました。不正アクセスは2026年3月16日に遮断され、その後は不審な動きを確認していません。流出したファイルを調べたところ、氏名、メールアドレス、生年月日、診療記録番号、社会保障番号、治療を受けた場所、予約情報、医療提供者の情報が含まれていました。Bay Area Psychological Consultants は、このインシデントによる患者データの悪用は把握していないとしています。一方で、影響を受けた全員に対し、個人情報や保護対象医療情報の悪用による、なりすまし、詐欺などの被害に警戒を続けるよう呼びかけています。
ミシガン州の Lansing Urgent Care
ミシガン州の Lansing Urgent Care は、2026年9月11日に最初に確認されたサイバーセキュリティインシデントを、このほど公表しました。同社のウェブサイトに掲載された通知によると、「権限のない第三者により、一部のデータにアクセスされ、流出しました」。攻撃の手口は明らかにされていませんが、ランサムウェア攻撃だったとみられます。
ランサムウェアグループの INC Ransom が犯行声明を出し、Lansing Urgent Care をダークウェブ上のデータ漏えいサイトに掲載しました。Lansing Urgent Care は、影響を受けたデータの精査を続けているとしています。ただし、今回のインシデントで侵害された情報には、氏名、住所、生年月日、診断名、治療情報、処方箋、健康保険情報が含まれる可能性が高いとのことです。対象となる情報は個人ごとに異なります。影響を受けた人々には、今後12～24カ月間、無料で入手できる信用情報報告書を確認するよう勧めています。影響を受けた人数は、まだ公表されていません。
