概要
全米45,000以上の医療機関に電子カルテ(EHR)サービスを提供するニュージャージー拠点のCareCloudは、2026年8月、3月に発生したデータ侵害の被害者数を最終的に約375万6,469人へと上方修正したことを明らかにした。当初8月初旬の時点で判明していた被害者数は約34万5,000人(うちテキサス州民27万人超)にとどまっていたが、調査の進展により被害規模が10倍以上に拡大したことが判明した。米保健福祉省(HHS)の市民権局(OCR)が管理するデータ侵害ポータルには8月18日付で登録され、これは2026年に発生した医療データ侵害としてはDentaQuest(1,500万人)、TriZetto(340万人)などに次ぐ規模となる。
侵害の経緯と流出情報
CareCloudによると、不正アクセスは2026年3月10日から16日にかけて発生し、同社が運用する6つのAWSホスト型電子カルテ環境のうち1つが標的となった。攻撃者は約8時間にわたってシステムに侵入し、内部データベースからデータを窃取。この間、ネットワーク障害も発生し、一部データベースへのアクセスが遮断された。CareCloudは3月16日当日中に環境を復旧させ、以降は攻撃者によるアクセスがないことを確認したとしている。流出した情報には氏名、住所、生年月日、社会保障番号、運転免許証などの政府発行身分証明書番号、金融口座番号、クレジットカード・デビットカード情報、医療・保険情報が含まれる。現時点でランサムウェアグループや情報窃取集団による犯行声明は出ておらず、身代金交渉が行われた可能性も指摘されているが、CareCloudはこの点について公式にコメントしていない。
対応と今後の影響
CareCloudは侵害発覚後、外部のサイバーセキュリティ専門家を起用して調査を行うとともに、法執行機関やサイバー保険会社への報告、証券取引委員会(SEC)への届出を実施した。被害者への通知は8月3日に開始され、州法で義務付けられている場合には最大24ヶ月間の本人確認・信用監視サービス(IDXが提供)を無償提供するとしている。同社CEOのStephen Snyder氏は、身代金支払いの有無や進退に関する複数の取材要請に対し、これまで公式な回答をしていない。医療分野のバックエンドシステムを担う「ビジネスアソシエイト」の一角が標的となった今回の事案は、医療機関自体が直接侵害されていなくても、委託先の1社の脆弱性が数百万人規模の患者情報流出につながりうることを改めて示す事例となった。