マクラーレン・ヘルスケアのデータ侵害、74万3,000人超の患者に影響

ミシガン州に拠点を置くマクラーレン・ヘルスケアで発生したデータ侵害により、74万3,000人を超える個人が影響を受けました。

この非営利の医療システムは、2024年7月17日から8月3日の間にハッカーが同社ネットワークへアクセスしたことを、影響を受けた個人に通知しました。この侵害は、マクラーレンとカーマノスがん研究所の双方を標的としたランサムウェア攻撃に関連していました。

侵害は2024年8月5日に検知されたものの、影響を受けた個人を特定するフォレンジック調査の完了までに2025年5月5日まで要したと、マクラーレンは述べています。通知書は先週金曜日から発送が開始されました。

「（この件は）非常に懸念すべきことです。[…] 2024年8月に攻撃が発見されたにもかかわらず、データを盗まれ、販売に出された可能性のある真の被害者が、今に至るまで知らされていないように見えます」と、KnowBe4のセキュリティ意識向上アドボケイトであるエリック・クロン氏は述べました。

「患者に対して潜在的なリスクと曝露について知らせるのが遅れれば、被害者にとっては単なる苛立ち以上の代償を伴う結果になりかねません。」

アクセスされた個人データの内容

メイン州司法長官事務所に提出された通知によると、攻撃者は機微な個人情報および健康関連情報を含むファイルにアクセスしました。

• 氏名（フルネーム）

• 社会保障番号

• 運転免許証番号

• 診療記録

• 健康保険の詳細

「医療分野は、ランサムウェアだけでなくデータ窃取の目的でも、悪意ある攻撃者に狙われる上位の業界の一つです」と、クロン氏は付け加えました。

「これらの組織が収集するデータや、個人に関して保有している情報は膨大で、非常に機微なものです。」

マクラーレンは、影響を受けた人々に対し、12か月間の無料のクレジット監視および身元保護サービスを提供しています。

患者向けの声明で、マクラーレンは本件を「国際的なランサムウェアグループによるサイバーセキュリティ攻撃」の結果であると説明しました。 

マクラーレンは攻撃者の名称を明らかにしませんでしたが、Comparitechの消費者プライバシー擁護者であるポール・ビショフ氏は次のように指摘しています。「マクラーレンは、Inc Ransomwareにハッキングされた標的の長いリストの最新例です。」

ランサムウェア集団が医療システムを標的にしている実態について詳しく読む：医療分野、ランサムウェア被害の5分の1を占める

これは、マクラーレンが過去2年で経験した2件目の重大なサイバーセキュリティインシデントとなります。2023年7月には、ALPHV/BlackCatランサムウェアグループが同社システムに侵入し、その後、機微なデータをオンライン上に公開しました。この侵害は220万人に影響しました。

「病院やクリニックは、ランサムウェア集団にとって魅力的な標的です」と、ビショフ氏は付け加えました。

「医療記録やその他のデータへのアクセスなしに長くは持ちこたえられず、また大量の機微情報を保有しているからです。」

ランサムウェア対策のためのプロアクティブな戦略

ランサムウェア攻撃から守るために、医療機関はプロアクティブで多層的な戦略を採用すべきです。これには、重要な患者情報を迅速に復旧できるよう、堅牢なデータバックアップおよび災害復旧プロトコルを実装することが含まれます。バックアップはオフラインおよび／またはオフサイトに保管し、整合性を定期的に検証する必要があります。

さらに、全スタッフに対する継続的なサイバーセキュリティ研修を提供することは不可欠であり、ランサムウェアの侵入に一般的に用いられるフィッシングの試み、不審な添付ファイル、ソーシャルエンジニアリング手口を見分けられるよう支援します。

最後に、高度なエンドポイント保護を導入し、厳格なネットワークセグメンテーションを維持するとともに、最新のウイルス対策ソフトウェア、ファイアウォール、侵入検知システムを運用することで、マルウェアの潜在的な拡散を封じ込める助けとなります。