メドトロニック、2026年4月のサイバー攻撃で影響を受けた個人への通知を開始

メドトロニックは、2026年4月に発生したサイバー攻撃で影響を受けた個人への通知を開始しました。この攻撃についてはShinyHuntersと名乗る脅威グループが犯行声明を出しており、個人を特定できる情報(PII)を含む900万件超のレコードを窃取したと主張しています。

メドトロニックは通知書の中で、2026年4月15日に一部の企業向けITシステム内で不審な活動が確認され、この侵入に気付いたと説明しています。大手のサードパーティ・サイバーセキュリティ専門家の支援を受け、メドトロニックは2026年4月13日から4月19日にかけて一部のITシステムへの不正アクセスがあったことを確認しました。メドトロニックが製造する医療機器は患者データを収集しています。データを精査した結果、氏名、連絡先情報、生年月日、社会保障番号、および健康関連情報が影響を受けた可能性があることが確認されました。通知書を発送した時点で、メドトロニックは盗まれたデータが公開インターネット上に流出した事実は把握していないとしています。

メドトロニックは、プライバシーとセキュリティを重視しており、今回の攻撃以前からシステムと患者データを保護するために数多くの安全対策を講じていたと説明しています。さらに攻撃後にはセキュリティを強化するための追加対策を実施しており、サイバーセキュリティ専門家と連携してセキュリティ態勢をさらに強化できる余地がないか、引き続き検討を続けているとのことです。

影響を受けた個人には、24カ月間の無償クレジットモニタリングおよびID盗難保護サービスが提供されています。これには、自身のデータがダークウェブに流出していないかを監視するダークウェブモニタリング、ID盗難の被害回復サービス、医療保険プランIDのモニタリング、メディケア受給者IDのモニタリング、さらには最大100万ドル(自己負担額0ドル)のID盗難補償保険が含まれます。

メドトロニックは攻撃の実行主体について名前を明らかにしておらず、影響を受けた人数についても現時点で公表していません。今回のデータ侵害はカリフォルニア州、マサチューセッツ州、テキサス州、バーモント州など、複数の州司法長官に報告されています。この事案では、テキサス州の住民297,307人、マサチューセッツ州の住民63,534人、バーモント州の住民8,668人が影響を受けたことが判明しています。この事案は、米保健福祉省(HHS)公民権局の情報漏えいポータルにはまだ登録されていません。すでに複数の集団訴訟がこのデータ侵害をめぐって提起されています。

2026年4月28日:医療機器メーカーのメドトロニック、データ侵害を発表

医療機器製造大手のメドトロニックは、ハッカーが自社ネットワークに侵入し、データを窃取したことを確認しました。同社は2026年4月24日(金曜日)にこのサイバー攻撃を公表し、攻撃は速やかに封じ込められ、インシデント対応プロトコルが発動されたとしています。

メドトロニックは、ペースメーカー、除細動器、心臓弁、冠動脈ステント、インスリンポンプ、持続血糖モニタリングシステム、神経外科製品や画像診断システム、手術用ロボット、人工呼吸器、消化器系製品など、幅広い医療製品を製造しています。同社は売上高で世界最大の医療機器メーカーであり、2025年度の売上高は335億ドルに達しました。150カ国以上で事業を展開し、全世界で約95,000人の従業員を抱え、年間およそ7,900万人の患者にサービスを提供しています。

今回、ハッカーがアクセスできたのは同社ネットワークのごく一部にとどまります。メドトロニックは、企業向けITシステムを支えるネットワークと、製品・製造・流通業務を支えるネットワークは分離されていると説明しています。さらに、病院顧客のネットワークはメドトロニックのITネットワークとは別個のものであり、各顧客のITチームによってセキュリティ管理・運用がなされています。大手サイバーセキュリティ企業が調査に起用され、調査および復旧作業を支援しています。現時点で、同社の製品、患者の安全性、顧客との接続、製造・流通業務、財務報告システムへの影響は確認されておらず、同社は患者のニーズに応え続けているとしています。

現時点で判明していないのは、今回の事案で個人情報あるいは保護対象保健情報(PHI)にアクセスされたり窃取されたりしたかどうかです。仮にそうした情報へのアクセスや窃取があったことが判明した場合、影響を受けた個人を特定した上で通知を行い、支援サービスを提供するとしています。メドトロニックはこのインシデントへの対応を進める一方で、今後同様のインシデントを防ぐためにシステムセキュリティをさらに最適化する方法についても、並行して検討を進めているとしています。

メドトロニックは上場企業であるため、株主に影響を及ぼしうる重大事象について米証券取引委員会(SEC)への届け出が義務付けられています。SECに提出したフォーム8-Kの中で、メドトロニックは今回のインシデントが事業や財務実績に重大な影響を及ぼすとは見込んでいないと述べています。2026年4月18日の発表およびSEC届け出に先立ち、データ窃取・恐喝グループのShinyHuntersが今回の攻撃について犯行声明を出していました。同グループは、個人を特定できる情報を含むメドトロニックのデータをテラバイト単位で窃取したと主張しています。

ShinyHuntersはPIIを含む900万件超のレコードを窃取したと主張していますが、この主張についてメドトロニック側による裏付けはまだ取れていません。ShinyHuntersは、2026年4月21日までに身代金が支払われなければ、盗んだデータを公開すると予告していました。要求された金額は公表されていません。メドトロニックはShinyHuntersのデータ漏えいサイトから既に削除されており、これは身代金が支払われたことを示唆していますが、メドトロニック側はその事実関係を確認していません。

「今回のインシデントは、攻撃者が侵入口として企業向けIT環境を優先的に狙うという、繰り返し見られるパターンを浮き彫りにしています。企業向けIT環境には高い価値を持つデータが含まれることが多い一方で、生産システムや患者向けシステムほど厳格にセグメント化されていないことを攻撃者は知っているのです。メドトロニックが製品や患者の安全性に影響はないと述べているとしても、仮に数百万件のレコードが窃取されたことが確認されれば、それは依然として重大なリスクを意味します。特にID盗難、標的型フィッシング、サプライチェーンを悪用した攻撃という観点では深刻です。ヘルスケア業界において『業務への影響がない』ことは『リスクがない』ことを意味しません。機微なデータの流出は、長期にわたって下流に影響を及ぼしかねないのです」と、SOCRadarのCISOであるEnsar Seker氏は述べています。「防御側の視点から見れば、この事案は企業向けITシステムを臨床環境や業務環境と同等の厳格さで扱う必要性を改めて示しています。強固なID管理、厳格なネットワークセグメンテーション、そしてデータ流出経路の継続的な監視が極めて重要です。さらに、組織はShinyHuntersのようなグループが、部分的なデータセットや機微性の低いデータセットであっても金銭化しようと試みることを前提としておくべきです。迅速な事実確認、透明性のある情報公開、そして能動的な脅威インテリジェンスの活用が、レピュテーションおよび規制上のリスクを軽減する上で不可欠となります」

今年データ侵害に見舞われた医療機器メーカーは、メドトロニックだけではありません。2026年1月には、創傷ケア、インプラント、整形外科・外科用製品向けのデバイスや部品を製造するマサチューセッツ州のUFP Technologiesが、サイバー攻撃とデータ侵害についてSECに届け出を行いました。2026年3月には、カリフォルニア州の埋め込み型整形外科機器メーカーであるTriMedがサイバー攻撃とデータ侵害を発表し、また医療技術企業のStrykerもワイパー攻撃を受けています。