CareCloud Confirms Data Breach Affecting Over 345,000 Medical Records

ニュージャージーに本拠を置く著名なヘルステクノロジー企業である CareCloud は、数十万人の患者の機密情報を侵害する重大なデータ侵害を公式に認めました。同社は3月に初めてサイバー攻撃の発生を公表したが、州司法長官への最近の提出文書で事件の規模が明らかになった。現在、全米で少なくとも 345,000 人の個人がデータを漏洩されたことが確認されています。この侵害は、同社の 6 つの社内患者データ リポジトリの 1 つから発生しました。 CareCloud が病院や診療所を含む 45,000 を超える医療提供者にサービスを提供していることを考えると、州レベルの情報開示が引き続き処理されるため、個人がさらに影響を受ける可能性は依然として高いです。同社は当初、侵入の詳細については沈黙の姿勢を保っていたが、新たな規制当局への提出書類により、これまでで最も詳細な事件の評価が明らかになった。

規制当局に提供された公式侵害通知によると、無許可の攻撃者が 6 日間にわたって特定の電子医療記録データ ストアへのアクセスを維持しました。侵害期間は 2026 年 3 月 10 日から 2026 年 3 月 16 日まで続きました。捜査官は、侵害されたインフラストラクチャがアマゾン ウェブ サービス (AWS) でホストされていたことを確認しました。同社は不正侵入の正確なメカニズムを公表していないが、加害者がデータベースからデータを抜き出すことに成功したと主張していることは認めた。このような申し立ては、デジタル恐喝の試みに関連していることが多く、攻撃者は侵害成功の証拠として、盗まれた情報のサンプルを被害者に提供します。これは、多くの場合、盗まれたファイルの公開を防ぐことを目的とした身代金要求の前兆として行われます。これらの兆候にもかかわらず、CareCloud は特定のランサムウェアや恐喝シンジケートの関与を確認しておらず、現時点でこの攻撃に対する責任を公的に表明している既知のグループもありません。

盗まれた情報の範囲が広いため、個人情報の盗難や金融詐欺のリスクが高い個人に影響が及びました。規制当局への提出書類によると、流出した記録には広範囲にわたる個人識別情報が含まれていた。名前や住所などの標準的な連絡先の詳細を超えて、ハッカーは社会保障番号やパスポートや運転免許証などの政府発行の身分証明書などの非常に機密性の高い情報にアクセスしました。さらに、侵入者がアクセスしたファイルには銀行口座の詳細や支払いカード番号も含まれていたため、この侵害は金融セキュリティを危険にさらしました。おそらく患者にとって最も懸念されるのは、医療情報の盗難に悪用される可能性のある情報が含まれる医療および健康関連の記録の暴露でしょう。同社は現在、これらの人物に通知する手続きを進めているが、CareCloud CEOのスティーブン・スナイダー氏からパブリックコメントがなかったため、同社の長期的な改善戦略に関する多くの疑問は未解決のままとなっている。

CareCloud 事件は、2026 年に医療技術分野を標的としたサイバー攻撃の憂慮すべき永続的な傾向の一部です。闇市場では個人の健康情報が高額であるため、この業界は悪意のある攻撃者の主な標的となっています。 CareCloud 侵害の規模は、この分野における最近の他の重大なセキュリティ障害を反映しています。たとえば、ヘルスケア収益企業 TriZetto は最近、340 万人に影響を与える侵害を経験しました。同様に、NYC Health + Hospitals は、180 万人の患者の健康データの盗難と従業員の指紋記録の損失をもたらした 1 か月にわたる侵入に対処しました。これらの出来事は、英国に本拠を置く技術プロバイダーであるクレーンウェア社によって先週確認された別の重大なデータ盗難と相まって、米国の医療提供者をサポートするデジタル会計および請求インフラストラクチャのシステム的な脆弱性を浮き彫りにし、患者のプライバシーがサイバーセキュリティ上の懸念の最前線にあることを浮き彫りにしている。