米国でメディケイドと児童健康保険(CHIP)の歯科給付を管理する最大手デンタクエスト(DentaQuest)がサイバー攻撃を受け、最大2,340万人の個人情報が流出した。社会保障番号やメディケイド・メディケアの加入番号、診断・治療記録まで流出しており、被害の範囲は広い。
シャイニーハンターズ(ShinyHunters)は今年5月、ダークウェブに窃取したデータを公開し、被害者は260万人だと主張した。デンタクエストが7月中旬から送付した公式通知書には1,500万人以上と記されていた。その後、セキュリティ専門メディアのセキュリティ・アフェアーズが伝えた数字は2,340万人を超えた。3カ月の間に発表元が3回変わり、規模も合わせて膨らんだ格好だと、医療専門メディアのHIPAAジャーナルが報じた。
3日間の不正アクセスとダークウェブへの流出
デンタクエストによると、外部の攻撃者は5月17日から20日までの3日間、同社のネットワークに不正アクセスした。同社は20日にこれを把握し、直ちにネットワークを遮断して捜査当局に通報したと明らかにした。シャイニーハンターズは234ギガバイト分のデータを窃取したと主張し、身代金の支払いを要求した。交渉が決裂すると、窃取したデータをそのままダークウェブの流出サイトに公開した。
米国最大の管理会社から流出した身元・診療情報
マサチューセッツ州ウェルズリーに本社を置くデンタクエストは、生命保険会社サンライフ(Sun Life)の米国歯科部門子会社である。50州でメディケイドと児童健康保険の歯科給付を管理する米国最大手でもある。今回流出した情報には氏名や住所、社会保障番号、メディケイド・メディケアの加入番号、診断・治療内容、請求情報が含まれていた。子どもの加入者の情報も多数含まれていたと伝えられている。デンタクエストは普段、米国全土で3,200万人の歯科給付を管理していると公表してきたが、今回流出した2,340万人はそのうちのかなりの部分に相当する規模である。
被害者支援・容疑者逮捕と韓国のセキュリティ課題
デンタクエストは被害者に対し、24カ月間の無料信用モニタリングと身元盗用防止サービスを提供すると明らかにした。シャイニーハンターズは今年、複数の企業を標的に同様の手口で攻撃を続けてきた組織である。先月29日には、この組織の構成員とみられる人物がオランダで逮捕され、90日間拘束されたとAP通信が伝えた。
デンタクエストは韓国で営業していないため、韓国の歯科患者が今回の流出で直接影響を受けることはない。ただし、歯科分野のセキュリティが弱い輪になっているという事実は韓国にも当てはまる。歯科用審美補綴材料企業のハス(HASS)のホームページも2024年にハッキングを受け、会員の氏名と連絡先が流出したことがある。先に取り上げたヘイドントのように、歯科記録を医科の電子カルテとつなぐ試みが増えるほど、一カ所が破られたときに流出する情報の範囲も合わせて広がるという点は、両国に共通して残る課題である。