ShinyHuntersがヴィッシングで医療大手Abbott LaboratoriesのSSO乗っ取り、医師患者会話2200万件・SSN100万件を盗取

「電話での詐欺がサイバー攻撃につながるって本当？」
「医療データが盗まれると何が起きるんでしゅか？」

チップス

ボス、Abbott Laboratoriesっていう医療会社が狙われたでしゅよね。電話で騙して侵入したってどういうことでしゅか？

ボス

「ヴィッシング」という音声フィッシングだ。攻撃者がAbbottの従業員に電話をかけ、IT部門などを装ってパスワードや認証コードを聞き出し、シングルサインオン（SSO）を掌握した。技術的な脆弱性より人間の判断ミスを突く、古典的で効果的な手口だ。

ShinyHuntersはTicketmaster・Santander Bank・Snowflakeなどへの大規模攻撃で知られるグループです。
今回は医師と患者の会話2,200万件以上を含む医療情報が盗取されたとされており、プライバシーへの影響が特に深刻です。

医療情報の侵害はHIPAA（米国医療情報保護法）の対象となるため、法的リスクも大きな案件です。

事件の概要：6月の電話詐欺から始まった医療データの大量窃取

Abbott Laboratoriesは医療機器・診断・栄養製品の世界的大手で、がん検査分野の子会社「Exact Sciences」も傘下に持ちます。
ShinyHuntersは2026年6月中旬、Abbott従業員数名に電話をかけ、社内IT部門などを騙して認証情報を入手しました。

チップス

電話一本でシステムに入れるんでしゅか？

ボス

Microsoft Entraのような現代のSSOは多要素認証が前提だが、攻撃者は「今すぐ認証コードを教えてください」と焦らせる手口で突破する。従業員が焦って本物のコードを伝えてしまえば、MFAも無意味になる。

SSOアカウントを掌握した攻撃者がアクセスしたシステムは次の通りです。

ShinyHuntersが主張する盗取データの規模は、3,000万行を超える顧客個人情報（氏名・メール・電話・生年月日）、SSN（社会保障番号）約100万件、医師と患者の会話2,200万件以上、医療注文2,000万件以上です。
Abbottはインシデント対応チームを起動し、法執行機関に通報しましたが、「事業への重大な影響はない」としています。

原因と教訓：SSOの「単一障害点」が組織全体への経路になる

今回の攻撃が示す最大の教訓は、SSOが侵害されると連鎖的に複数システムへのアクセスが可能になるという点です。
SSO導入はパスワード管理の手間を減らしますが、その認証機構自体が攻撃の主要標的になります。

チップス

SSOを使うのをやめた方がいいってことでしゅか？

ボス

そういうことではない。SSOの利便性は捨てられない。問題はヴィッシングに弱い運用体制だ。「電話でMFAコードを求める人物は本物のIT担当者ではない」というルールを徹底することが先決だ。

また今回は、ShinyHuntersとは別に「ShadowByt3$」というグループも同時期にAbottの別システム（LabCentralポータル）への不正アクセスを主張しています。
Abbottは「取得されたのは公開情報」と反論していますが、2つの別グループが同時期に同一企業を狙っていたことは注目すべき点です。

まとめ：「電話でMFAコードを聞かれたら断る」をルール化する

ShinyHuntersはTicketmaster・Snowflake・サンタンデール銀行など、過去にも大規模侵害を起こしてきたグループです。
共通しているのは、高度なマルウェアより「人を騙す電話」でSSOを突破する戦術です。

チップス

対策のポイントを教えてほしいでしゅ。

ボス

ひとつ目は「電話でMFAコードや認証情報を要求されたら必ず断り、折り返して確認する」というルールを全社員に徹底すること。ふたつ目はSSOのセッションを異常な場所・デバイスから使われた場合に即時ブロックするCAAB（継続的アクセス評価プロファイル）の有効化だ。

対策のポイントをまとめます。

技術的な対策が高度になればなるほど、攻撃者は人間の心理を突く方向に戦術をシフトします。日本でも医療機関や研究機関を狙った類似手口が増えており、電話セキュリティ訓練をフィッシングメール訓練と同等に位置づける時代が来ています。