概要
カナダ最大級の小児医療機関であるトロントのSickKids(Hospital for Sick Children)は8月20日、サイバーセキュリティインシデントにより現職・元職員、求職者、関連組織であるSickKids Foundationおよびオンタリオ州ヴォーンのBoomerangクリニックのスタッフの個人情報が流出したと発表した。攻撃者は病院が利用する第三者製ソフトウェアアプリケーションの脆弱性を突いて、外部向けの採用(キャリア)ウェブサイトに不正侵入した。侵入を受けて同サイトは一時的にオフラインとなったが、その後復旧している。病院は、臨床システムや患者診療、患者データには影響が及んでいないと強調している。
対応と被害範囲
SickKidsは外部のサイバーセキュリティ専門家と共に調査を進めており、影響を受けた個人には順次直接通知するとしている。被害の具体的な件数やデータ項目(氏名、住所、職歴などの詳細)は公表されていないが、対象者には24か月間の無料クレジット監視・身元保護サービスを提供する方針を示した。侵入の原因となった第三者ソフトウェアのベンダー名や脆弱性の識別番号(CVEなど)も明らかにされていない。
繰り返される標的化の背景
SickKidsがサイバー攻撃の被害に遭うのは今回が初めてではない。2022年12月には、LockBitランサムウェアの関連グループによる攻撃を受け、内部システムや電話回線、ウェブサイトに障害が発生し、薬局システムや診断画像システムを含む復旧には数週間を要した。この際、LockBit側が小児病院を標的にしたことについて異例の謝罪声明を出し、無料の復号化ツールを提供した上で実行犯を組織から追放するという珍しい経緯もあった。さらに2023年9月には、ファイル転送ソフトMOVEit Transferの脆弱性(CVE-2023-34362)を突いた大規模攻撃キャンペーンに巻き込まれ、340万人分のデータが流出している。医療機関、とりわけ小児病院は長期間にわたる機密性の高い記録を保持しているため、攻撃者にとって依然として魅力的な標的となっていることが今回の事案からも改めて浮き彫りになった。