McKesson、ShinyHuntersが2億8400万件の患者情報窃取を主張、5500万ドルの身代金要求

「電話1本でVPN・SSOを突破されるんでしゅか？」
「医療データが2億件以上流出したら、患者への影響はどうなるんでしゅか…」

チップス

ボス、McKessonっていう医療大手にハッカーが侵入して患者情報を大量に盗んだって本当でしゅか？

ボス

McKessonはサイバーセキュリティインシデントを公表した。ShinyHuntersというハッカー集団が電話詐欺でOkta SSOを突破し、2億8400万件のデータレコードを盗んだと主張している。医療データの大規模侵害は患者への長期的な被害に繋がる深刻な問題だな。

医療データの大規模流出はID詐欺・保険詐欺に直結する深刻な問題です。
この記事では攻撃手口と医療機関が取るべき対策を解説します。

医療データを扱う組織にとってセキュリティは患者への責任であり、SSO・SaaS環境の保護が急務です。

事件の概要

McKessonは米国最大規模の医療製品・医薬品の卸売・配送企業で、数十万の医療機関・薬局・病院と取引関係があります。
ShinyHuntersは過去にTicketmaster・Santander銀行・AT&Tなど多数の大規模侵害を実行してきた国際的なハッカー集団です（BleepingComputer）。

ShinyHuntersが主張する攻撃の経緯は以下のとおりです。

チップス

ボイスフィッシングって電話詐欺でしゅか？メールじゃなくて電話なんでしゅね

ボス

そうだ。メールフィッシングと違い、電話で直接従業員に話しかけてITサポートを装う。信頼できる内部の声を使うため、よく訓練された従業員でも引っかかることがある。特にOktaのような一度侵害されると多くのシステムに侵入できる認証基盤が狙われると被害が拡大するんだな。

ShinyHuntersが窃取を主張するデータには、氏名・住所・生年月日・社会保障番号・患者ID・電話番号・メールアドレス・メディケイド番号・医療記録番号・投薬履歴・アレルギー情報・疾病・身体障害・予約情報・担当医師情報が含まれるとされます（McKessonは具体的な流出項目を未確認）。

医療データ侵害の深刻さとSnowflakeシステムへの攻撃

今回の侵害でShinyHuntersが使ったとされる経路は、2024年のSnowflake大規模侵害（Ticketmaster・AT&T等に影響）と同様の手法です。
SaaS型データウェアハウスは多くの企業が大量データを集約しているため、1つのアカウントが侵害されると膨大なデータへのアクセスが可能になります。

医療データが特に危険な理由は以下のとおりです。

チップス

2億8400万件って、日本の人口の2倍以上でしゅね。本当にそんなに多いんでしゅか？

ボス

件数はShinyHunters側の主張で「データ行数の生データカウント」なので、ユニークな患者数と一致しない。ただし氏名・社会保障番号・投薬情報・疾病名まで含まれるとすれば、1件ずつが非常に機密性の高い情報だ。量も質も深刻だな。McKessonはサイバーセキュリティの専門機関を関与させて調査中だ。

まとめ：SSOとSaaSへの攻撃を前提とした対策が必要

McKessonへのShinyHunters攻撃は、ボイスフィッシング→SSO侵害→SaaS大規模データ抽出という攻撃チェーンが医療機関にも通用することを示しています。
医療機関・ヘルスケア企業が優先的に実施すべき対策は以下のとおりです。

チップス

ボイスフィッシングって、従業員がちゃんと訓練されていたら防げるんでしゅか？

ボス

完全には防げないが、訓練は大きく効果がある。重要なのは「どんなに緊急でも、電話口でパスワードや認証コードを教えない」という鉄則だ。正規のITサポートは絶対に電話でそれを求めない。その1点だけで多くのvishingが阻止できるんだな。

医療データを扱う組織にとってセキュリティは患者への責任であり、サイバーセキュリティ人材の重要性が高まっています。