北米最大の薬物使用障害（SUD）治療および回復サービスのプロバイダーであるベイマーク・ヘルス・サービシズは、2024年9月に発生した個人情報および健康情報の流出事件で、攻撃者に窃取されたことを非公開の患者数に通知している。
テキサス州を拠点とする同組織は、米国35州とカナダ3州にまたがる400以上のサービス拠点で、毎日7万5,000人以上の患者に薬物使用と精神疾患の両方を対象とした薬物支援治療（MAT）サービスを提供している。
ベイマークは、影響を受けた個人に郵送されたデータ漏洩通知書の中で、ITシステムの混乱を受けて2024年10月11日に情報漏洩を知ったことを明らかにした。追跡調査の結果、攻撃者は9月24日から10月14日の間にベイマークのシステムにアクセスしたことが判明した。
「2024年10月11日、当社のITシステムの一部に障害が発生したことを知りました。直ちにシステムの安全確保に努め、第三者のフォレンジック専門家の協力を得て調査を開始し、法執行機関に通報しました」とベイマークはウェブサイトに掲載した声明で説明している。
「調査の結果、2024年9月24日から2024年10月14日の間に、不正アクセス者がベイマークのシステム上のファイルの一部にアクセスしたことが判明しました。その後、これらのファイルのレビューと分析を開始しました。”
この事件で流出した文書には、影響を受けた各患者の氏名、社会保障番号、医療保険番号など、さまざまな種類のデータが含まれていた：
- 社会保障番号
- 運転免許証番号
- 生年月日
- 受けたサービスおよびサービスの日付
- 保険情報、
- 治療提供者、治療および/または診断情報。
ベイマークは現在、この事件で社会保障番号や運転免許証番号が流出した可能性のある患者に対し、エクイファックスのID監視サービスを1年間無料で提供している。
ベイマークの広報担当者は、影響を受けた患者の総数など、この情報流出に関する詳細について本日未明に連絡を受けたが、すぐにコメントは得られなかった。
医療サービス・プロバイダーは9月の攻撃について詳細を明らかにしなかったが、ランサムウェア集団RansomHubは10月、ベイマークの侵害されたシステムから1.5TBのファイルを盗んだと主張した。データはその後、脅威行為者のダークウェブリークサイトにアップロードされた。
RansomHubのランサムウェア・アズ・ア・サービス（RaaS）活動（以前はCyclopsおよびKnightとして知られていた）は、ほぼ1年前の2024年2月に表面化し、被害者のシステムを暗号化することよりも、データ窃盗ベースの恐喝に焦点を当てている。
それ以来、ライト・エイド・ドラッグストア・チェーン、クリスティーズ・オークション・ハウス、米通信プロバイダーのフロンティア・コミュニケーションズ、家族計画連盟（Planned Parenthood）性保健NPO、カワサキのEU部門、ボローニャ・フットボール・クラブ、石油サービス大手のハリバートンなど、複数の著名な被害者の責任を主張している。
RansomHubはまた、BlackCat/ALPHVランサムウェアが退出詐欺で2,200万ドルを盗んだ後に活動を停止した後、Change Healthcareの盗まれたデータを流出させた。
FBIによると、この事件が表面化して以来、RansomHubランサムウェアの関連会社は、2024年8月までに、政府、重要インフラ、ヘルスケアなど、米国の重要なインフラ部門から200人以上の被害者を出しているという。
ベイマーク・ヘルス・サービスの情報漏えいは、近年、病院や米国人に影響を及ぼす大規模な医療セキュリティ侵害が急増していることを受け、米国保健社会福祉省（HHS）が患者の健康データを保護するために1996年医療保険の相互運用性と説明責任に関する法律（HIPAA）の更新を提案した後に発生した。
10月、UnitedHealthは、1億人以上に影響を与えた2月のChange Healthcareランサムウェア攻撃後、近年で最も重大な医療情報漏洩に見舞われたことを確認した。
The post 米国最大の依存症治療プロバイダー、データ漏洩を患者に通知 first appeared on PRSOL:CC.