マーケティング会社および法律事務所、データ侵害で20万人以上に影響

マーケティングソフトウェアおよびサービス会社のCierant Corporationと法律事務所のZumpano Patriciosが、それぞれ20万人以上に影響を与えるデータ侵害を独立して公表しました。

CierantとZumpano Patriciosの両事件に共通しているのは、影響を受けた人数が、米国保健福祉省（HHS）が管理する医療データ侵害トラッカーによって最近明らかになったことです。

Zumpano Patriciosの侵害は約28万人に影響を及ぼしています。同法律事務所は、米国の主要都市にオフィスを構え、医療機関が患者への医療サービスの支払いを巡って健康保険会社と争う際の代理を務めています。 

Zumpano Patriciosは、影響を受けた個人に通知しており、2025年5月6日に自社のITネットワークで侵入を検知したものの、初回アクセスの日付と時刻は特定できなかったとしています。 

調査の結果、ハッカーが患者名、生年月日、社会保障番号、医療提供者名、健康保険情報、サービス提供日、提供者による請求額および受領した支払額などの情報を含むファイルにアクセスし、場合によっては流出させたことが判明しました。

この法律事務所がランサムウェア攻撃の標的となったかどうかは不明であり、既知の脅威グループがこの侵入を主張してはいません。

Cierantの場合、HHSのデータ侵害トラッカーによると、23万2,000人以上が影響を受けています。

データインシデント通知の中で、同社は2024年末に悪名高いCl0pランサムウェアグループがCleoのファイル転送製品の脆弱性を悪用した攻撃の標的となり、影響を受けたアプリケーションを利用していた組織のファイルにアクセスされたことを明らかにしました。

Cl0pはこれらの脆弱性を通じて数十の組織を標的とし、場合によっては被害者が医療機関向けにサービスを提供する企業であることもありました。いくつかの事件では、非常に多くの人々に影響を及ぼしています。

Cierantは2月初旬、Cl0pのリークサイトにCleo攻撃の被害者として掲載されました。サイバー犯罪者は一時、盗まれたファイルが公開されたと主張しましたが、SecurityWeekはその主張を確認できませんでした。 

CierantはCleoのVLTraderツールを使用しており、漏洩したファイルには第三者の健康保険プランのために処理された個人情報や健康データが含まれていたと述べています。

「関与した可能性のある個人情報の種類は人によって異なりますが、氏名、住所、生年月日、治療関連の日付、受けたサービスの一般的な説明、医療提供者名、医療記録番号、健康保険受給者番号、請求番号、および/またはプラン会員アカウント番号、保険料情報などが含まれます」とCierantは述べています。 

ここ数か月で明るみに出た医療データ侵害の多くは、数十万、場合によっては数百万人に影響を及ぼしています。