概要
遺伝子検査大手のBaylor Geneticsは8月14日、6月に発生したサイバー攻撃により患者や従業員の機微な個人情報が外部に流出したと発表した。同社によると、第三者による不正アクセスは6月11日から17日にかけて発生し、6月15日前後に侵害が判明。約1カ月半に及ぶ調査を7月30日に完了させたうえで、影響を受けた個人への通知を開始した。通知対象は約31万人に上るとみられる。同社は情報技術環境の「一部」が影響を受けたとしており、検査結果が改ざんされた証拠は確認されていないとしている。
流出した情報の範囲
流出した可能性がある患者情報には、生年月日、検査結果を含む医療・検査情報、健康保険関連の情報が含まれる。さらに、一部の患者については社会保障番号(SSN)も対象になったという。従業員に関しては、SSNに加えて政府発行の身分証明書情報、金融口座情報が流出した可能性があるとされる。同社は現時点で、なりすまし被害や詐欺、個人情報の悪用が確認された事例は把握していないとコメントしている。一方で、外部の第三者がどのような手法でネットワークやデータにアクセスしたのかという具体的な侵入経路については、同社の発表では明らかにされていない。
対応と今後の見通し
Baylor Geneticsは外部のサイバーセキュリティ専門家と法執行機関を交えて調査を実施し、通知に合わせてID・アクセス管理体制の強化や追加の防御策の導入を進めているとしている。影響を受けた個人に対しては無料の信用情報レポート取得や不審な活動の監視に関する案内も行われた。
今回の事案は、Medtronic、Stryker、Abbott、Intuitive、iRhythmなど2026年に相次いだ医療機器・医療技術(medtech)企業へのサイバー攻撃の一つに位置づけられる。医療技術ベンダーは膨大な患者データを扱う一方で、病院本体に比べて規制上の監視が手薄になりがちだとの指摘もあり、2025年8月に発覚したCenters Labの侵害事例なども含め、ヘルスケアのサプライチェーン全体におけるセキュリティ強化が改めて課題として浮かび上がっている。