チェンジヘルスケアのデータ侵害が拡大し、1億9000万人に影響
Change Healthcare ランサムウェア攻撃の影響は拡大し続けており、影響を受けた人の数は現在 1 億 9,000 万人と推定されています。UnitedHealth Group が明らかにしたこの数字は、影響を受けた人の数が当初の報告の 1 億人から大幅に増加したことを示しており、2024 年における最も重大な医療データ侵害となります。
目次
前例のない規模の違反
2024年2月に発生したこの侵害は、世界中の組織を標的とする最も悪名高いサイバー犯罪シンジケートの1つであるAlphv/BlackCatランサムウェアグループによるものとされています。攻撃者は、侵害された認証情報を悪用し、多要素認証（MFA）のないリモートアクセスポータルを迂回して、Change Healthcareのシステムに侵入しました。攻撃者は9日間検出されずに、機密性の高い患者データを盗み出し、その後ファイル暗号化ランサムウェアを展開しました。
ユナイテッドヘルスは、影響を受けた個人の大半にすでに通知したことを確認したが、これまでのところ、患者データの不正使用や違法プラットフォームでの医療記録の公開は検出されていないと述べた。それにもかかわらず、侵害の規模と盗まれたデータの機密性は、継続的なリスクを引き起こしている。
身代金交渉の失敗とその後
壊滅的なデータ漏洩を防ぐため、ユナイテッドヘルスは攻撃者に 2,200 万ドルの身代金を支払いました。しかし、BlackCat グループは契約を履行できず、ランサムウェア運営者の間で内部紛争が勃発しました。その後の混乱の中で、別のランサムウェア グループである RansomHub がこの状況を利用しました。彼らは 2024 年 4 月に、盗んだデータの一部をオンラインで公開して、Change Healthcare から金銭を強奪しようとしました。
この一連の出来事は、情報漏洩の影響を拡大させただけでなく、サイバー恐喝事件における身代金支払いの信頼性についても疑問を投げかけている。
金融および規制への影響
チェンジ・ヘルスケアは、この侵害により総額29億ドルの損失が生じる可能性があると見積もっており、調査が続くにつれてこの数字は増加する可能性がある。近年の多数の攻撃にすでに苦しんでいる医療業界は、セキュリティ対策の改善を求める圧力が高まっている。
米国保健福祉省（HHS）によると、 2024年の医療データ侵害はすでに1億8,600万件のユーザー記録に影響を与えている。Change Healthcareの修正された数字によると、この合計は現在、驚異的な2億7,500万件を超えている。
この違反がなぜ重要なのか
Change Healthcare 事件は、医療分野におけるいくつかの重要な脆弱性を浮き彫りにしました。
- 不適切な認証プロトコル: 攻撃者は、基本的だが重要なセキュリティ対策である MFA のないリモート アクセス ポータルを悪用しました。
- 横方向の移動: ネットワーク内に侵入した攻撃者は、システムを操作して機密データにアクセスします。
- ランサムウェアによる支払いリスク: この侵害は、身代金の支払いに伴うリスクを浮き彫りにしています。支払い後も、組織はさらなる恐喝の試みや部分的なデータ漏洩に直面しました。
医療サイバーセキュリティへの警鐘
この大規模な侵害は、世界中の医療機関にとって警鐘となるでしょう。医療業界は、そのデータの重要性と機密性から、依然としてランサムウェア集団の主要ターゲットとなっています。リスクを軽減するために、医療機関は次のことを行う必要があります。
- ゼロ トラスト セキュリティ モデルを採用する: 内部ネットワーク内であっても、デフォルトではどのユーザーやデバイスも信頼されないようにします。
- 多要素認証 (MFA) の義務化: 不正アクセスを防ぐために、すべてのシステムに MFA を導入します。
- インシデントの検出と対応の強化: 侵入を早期に検出し、効果的に対応するための高度な監視ツールを実装します。
- 定期的なサイバーセキュリティ トレーニングを実施する: フィッシング攻撃やその他のサイバー脅威を認識するための知識を従業員に提供します。
前進する
チェンジヘルスケアは、データ不正使用の証拠はないと主張しているが、盗まれた記録の量が膨大であるため、今後何年にもわたって何百万人もの個人が個人情報の盗難や詐欺の危険にさらされることになる。企業にとっても個人にとっても、この事件は警戒と強力なサイバーセキュリティ対策の重要性、そして高度な攻撃に対して完全に耐性のあるシステムは存在しないという厳しい現実を強調している。
医療業界は防御を強化するために断固たる行動を取らなければならず、そうしなければ財政の安定だけでなく患者の信頼と安全をも脅かすさらなる侵害のリスクが生じることになる。