概要
米オハイオ州モンゴメリーに拠点を置く医療ソフト企業Unlimited Technology Systems(UTS)は、2025年10月に発生したシステムへの不正アクセスにより、約380万人分の患者情報が流出した可能性があると公表した。米保健福祉省(HHS)への報告によれば影響を受けたのは3,803,750人で、2026年に報告された米ヘルスケア分野の情報漏洩事案としては最大級となり、これまで最大とされていたTriZetto Provider Solutionsの340万人を上回る規模となった。UTSは腫瘍科をはじめとする専門医療機関向けに財務・レベニューサイクル関連のソフトウェアを提供しており、全米4,500の診療所・6,500の専門医療プロバイダーがサービスを利用しているとされる。
侵害の経緯と対応の遅れ
不正アクセスは2025年10月5日から10日にかけての5日間、UTSの商用データセンター内で発生したとみられる。同社は同月19日に不審な活動を検知し、フォレンジック調査会社を起用して調査に着手、法執行機関にも通報した。しかし患者への通知が行われたのは2026年7月1日で、侵害検知から実に9か月が経過していた。HHSの侵害ポータルへの掲載は2026年8月6日付で更新された。
流出した情報の範囲
流出した可能性がある情報には、氏名、生年月日、住所、電話番号、メールアドレス、社会保障番号(SSN)、医療記録番号、診断名、受診日、保険証券番号、保険金請求・給付情報、および政府発行ID・保険証のスキャン画像や患者問診票などが含まれる。一方でUTSは、完全な診療記録や医用画像、クレジットカード番号・銀行口座情報などの金融データは対象に含まれていないと説明している。同社は現時点で漏洩情報が実際に悪用されたという事実は確認していないとしている。
攻撃者の特定状況と今後の対応
侵害の手口や侵入経路についてUTSは公表しておらず、ランサムウェアグループや恐喝グループによる犯行声明も出ていないため、攻撃者は特定されていない。同社は影響を受けた個人に対し、Krollを通じた24か月間の無償クレジットモニタリング、詐欺対策コンサルティング、および個人情報盗難からの復旧支援サービスを提供すると発表した。攻撃者の特定や侵入経路の全容解明が進んでいない中、同種の医療ソフト企業を狙った攻撃は今後も続く可能性があり、業界全体でのインシデント対応・開示プロセスの迅速化が課題として残る。