米国の医療費請求処理会社がランサムウェア攻撃を受け、全米の医療機関の請求や処方の処理が止まり、患者情報が漏洩

この記事の内容

1. 何が起きたか 2. なぜ起きたか 3. どうすれば防げたか 4. 自社に同じ原因があるか出典と更新の履歴

何が起きたか

この事故で流出した、または流出したおそれがある情報は、氏名・住所・生年月日などの連絡先、社会保障番号・運転免許証・パスポート番号、診断・薬・検査結果などの医療情報、保険・請求・支払いの情報。約1億9270万人分の推計です。その後の対応と影響は、システムを停止し、全米の数千の医療機関で請求や処方の処理が遅れた。CEOは身代金を支払ったと議会で証言した（報道では2200万ドル）。対象者に通知し、個人情報保護サービスを無償で提供したです。

原因になったのは「多要素認証の無いリモート接続ポータル」です。公表された内容では、生成AIは事故に関わっていません。

中心　直接の原因確定
盗まれた認証情報で、多要素認証の無いCitrixのリモート接続ポータルに入られた。
1つ外側　流出した情報確定
氏名・住所・生年月日などの連絡先、社会保障番号・運転免許証・パスポート番号、診断・薬・検査結果などの医療情報、保険・請求・支払いの情報。約1億9270万人分の推計。
いちばん外側　その後の対応と影響確定
システムを停止し、全米の数千の医療機関で請求や処方の処理が遅れた。CEOは身代金を支払ったと議会で証言した（報道では2200万ドル）。対象者に通知し、個人情報保護サービスを無償で提供した。

（確定）は当事者が発表した内容、（報道）は報道にもとづく内容、（不明）は公表されていない内容です。

なぜ起きたか

CEOの議会証言では、攻撃者は2月12日に盗まれた認証情報でリモートデスクトップ用のCitrixポータルに入った。このポータルには多要素認証が設定されていなかった。攻撃者は社内で移動してデータを持ち出し、9日後にランサムウェアを実行した。

原因の種類は「ランサムウェア」です。データを暗号化して身代金を求める攻撃で、業務が止まった事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は19件あります。

事故が起きてから公表されるまで

2024年2月12日盗まれた認証情報でリモート接続ポータルに入られる
2024年2月21日ランサムウェアが実行され、会社が攻撃を把握してシステムを切り離す
2024年2月22日親会社が米証券取引委員会に届け出る
2024年5月1日CEOが議会で侵入経路と身代金の支払いを証言する
2025年7月31日影響を受けた人数の推計を約1億9270万人に更新する

どうすれば防げたか

上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。

止められた可能性がある所（当社の見立て）
外部から社内に入れるリモート接続の入口すべてに多要素認証を設定し、買収した子会社も含めて設定状況を定期的に点検していれば、盗まれたパスワードだけでは入れなかった可能性がある。

この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。

自社で確認する3つの手順

上から順に、短い時間で確認できるものを並べています。

VPN・リモートデスクトップ・管理画面など外部から社内に入れる入口を一覧にする
すべての入口で多要素認証が有効になっているかを、子会社と委託先も含めて確認する
基幹システムが止まった時に、請求や受付を続ける手順を書面にしておく

自社に同じ原因があるか

当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。

外部から社内システムに入れる入口を、すべて一覧で把握していますか？その入口すべてで、多要素認証が有効になっていますか？グループ会社の入口の設定状況を、本社が点検していますか？

結果はこの画面にだけ表示されます。入力した内容は送信されません。

出典と更新の履歴

2024.02.22記事を掲載