CareCloud EHR、34万5,000人分の医療情報・金融情報が流出

医療データ流出が浮き彫りにしたクラウド環境のリスク

米国の医療IT企業CareCloudがサイバー攻撃を受け、AWS上で運用されていた電子医療記録（EHR）環境から約34万5,000人分の医療情報および金融情報が流出した。侵害は3月10日から16日にかけて発生し、各州への個人情報漏えい通知を通じて公表された。流出した情報には氏名、住所、社会保障番号（SSN）、運転免許証やパスポート情報、銀行口座情報、クレジットカード情報のほか、患者の医療記録や健康情報も含まれており、個人情報の悪用や医療詐欺などの二次被害が懸念されている。

近年は医療IT企業や医療サービス事業者を狙ったサイバー攻撃が相次いでおり、今回の事案も医療データを扱うクラウド環境が重要な標的となっている実態を示している。CareCloudはAWSを基盤としてEHRや病院運営、収益管理システムなどを提供しているが、今回の事案はクラウド基盤そのものではなく、その上で運用されるサービスも攻撃対象となり得ることを示した。

今回の事案では、AWS自体の脆弱性が悪用されたことは確認されていない。一方で、クラウド環境を利用する医療サービスに対するサイバー攻撃のリスクが改めて浮き彫りとなった。医療機関やサービス事業者には、アクセス管理の強化や継続的な監視、インシデント対応体制の整備など、多層的なセキュリティ対策が求められる。